Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im April 2024 veröffentlichten ZachXBT, MetaMasks Taylor Monahan und andere Forscher ihre Untersuchung zu 200 Millionen Dollar, die von der Lazarus Group Nordkoreas gewaschen wurden. Darüber hinaus reichte MetaMasks Security Lab einen Snow.js-Vorschlag beim W3C ein, verbesserte die Policy-Generierung von LavaMoat für ES-Module, während Gal Weizman das neue LavaDome-Tool zur sicheren Anzeige sensibler Daten vorstellte. Unterdessen startete die Security Alliance ein kostenloses, krypto-natives ISAC. Die vollständige Übersicht folgt weiter unten, aber zunächst...
MINT-Pionier im Fokus: Fazlur Rahman Khan, Bauingenieur und Vater des Röhrenbaudesigns
Fazlur Rahman Khan (1929–1982) war ein bangladeschisch-amerikanischer Bauingenieur und Architekt, ein früher Pionier des computergestützten Designs und die Person, die oft als „Vater des Röhrenbaudesigns" für Hochhäuser bezeichnet wird. Seine Konstruktionssysteme ermöglichten eine neue Generation effizienter Wolkenkratzer – darunter der Willis (Sears) Tower und das John Hancock Center. Strukturen zu entwerfen, die unter enormem Druck standhalten, ist auf seine eigene Weise dieselbe Herausforderung, der sich das Security Engineering stellt: etwas bauen, das hält, wenn alles dagegen drückt.
LavaMoat- und Snow-Updates: ein W3C-Vorschlag, ESM-Policy-Generierung und iOS-Lockdown
MetaMasks Security Lab reichte einen Vorschlag beim W3C ein zur Aufnahme in die Inkubationsphase und stellte grundlegende Funktionalität vor, die es dem Team ermöglichen würde, Snow.js auf der Nutzerseite statt über LavaMoat bereitzustellen. Die direkte Einbettung in den Browser würde Umgehungsversuche nahezu unmöglich machen und ist ein wichtiger Schritt zur Lösung des „Same-Origin-Problems". Das Team hat außerdem seine Policy-Generierung aktualisiert, um ECMAScript Modules (ESM) zu unterstützen – mit Unterstützung für Import- und Export-Syntax über das traditionelle require-System hinaus – sowohl für das Webpack-Plugin als auch für ein neues Endo-basiertes Tool. Die Unterstützung für target: 'node' mit integrierten Modulen wird im nächsten Release für das LavaMoat-Webpack-Plugin folgen. Lockdown wurde nun dauerhaft für MetaMask Mobile auf iOS freigegeben, und das Team verbessert seine Dokumentation und Lehrvideos, um das LavaMoat-Onboarding für das breitere Ökosystem zu erleichtern.
Wie LavaDome proaktiv vor Hacks in Web-Anwendungscode schützt
Da das Vertrauen in den Code innerhalb von Web-Anwendungen schwindet, sind traditionelle Schutzmaßnahmen wie die Same-Origin-Policy zunehmend unzureichend gegen interne Bedrohungen. MetaMask begegnet diesem Problem mit LavaDome, einem experimentellen Tool zur sicheren Anzeige sensibler Informationen im DOM, ohne dass diese durch XSS oder Supply-Chain-Angriffe von bösartigem Code gestohlen werden können. Wie Gal Weizman es formulierte, kann LavaDome sensible Werte – eine PIN, eine Secret Recovery Phrase, einen Private Key oder andere persönliche Daten – sicher im DOM darstellen, mit nahezu null Integrationsaufwand.
Eine gefälschte Klagedrohung legt ein Privnote-Phishing-Netzwerk offen
Ein Cyberkrimineller, der gefälschte Versionen des selbstzerstörenden Nachrichtendienstes Privnote betrieb, legte versehentlich das Ausmaß seiner Operation offen, indem er drohte, MetaMask zu verklagen. Es begann damit, dass ein GitHub-Nutzer sich beschwerte, seine Website privnote.co sei fälschlicherweise zur Phishing-Blockliste von MetaMask hinzugefügt worden, und rechtliche Schritte androhte. Als er aufgefordert wurde, die Klage tatsächlich einzureichen, geriet er in Panik und begann, andere von ihm kontrollierte Domains zu nennen, wie privnode.com, privnate.com und prevnóte.com – und enthüllte damit ein ganzes Netzwerk.
Taylor Monahan machte auf den Ausrutscher aufmerksam, und wie Brian Krebs ausführlich darlegte, ahmen diese Seiten das echte Privnote in Aussehen und Funktion nach – mit einem entscheidenden Unterschied. Jede Nachricht, die eine Kryptowährungsadresse enthält, wird automatisch umgeschrieben, um die echte Zahlungsadresse durch eine der Betrüger zu ersetzen. Da die Nachricht sich selbst zerstört, ist die Änderung leicht zu übersehen. Es ist auch ein lukrativer Trick: Über nur eine dieser Phishing-Seiten bewegten vier Betrugsadressen in einem einzigen Fünf-Tage-Zeitraum im März fast 18.000 Dollar in Krypto.
ZachXBT verfolgt, wie die Lazarus Group 200 Millionen Dollar wusch
ZachXBT folgte mit Hilfe von MetaMask Securitys Taylor Monahan und anderen Forschern der Transaktionsspur durch Mixer und zentralisierte Börsen, um zu dokumentieren, wie die Lazarus Group 200 Millionen Dollar aus mehr als 25 Krypto-Hacks zwischen 2020 und 2023 in Fiat-Währung wusch.
Zwischen 2020 und 2023 wusch die berüchtigte Lazarus Group, die mutmaßliche Verbindungen zu Nordkorea hat, schätzungsweise 200 Millionen Dollar. ZachXBT veröffentlichte gemeinsam mit MetaMask Securitys Taylor Monahan und anderen Forschern eine Untersuchung zu Lazarus' Transaktionsspur – durch Mixer und zentralisierte Börsen –, um mehr als 25 der Gruppe zugeschriebene Hacks nachzuverfolgen.
Die Security Alliance (SEAL) startet ein kostenloses, krypto-natives ISAC
Die Security Alliance startete ein kostenloses Information Sharing and Analysis Center (ISAC), das für Open-Source-Krypto entwickelt wurde und sowohl zentralisierte als auch dezentralisierte Einrichtungen unterstützt. Die SEAL-911-Initiative, von der samczsun anmerkte, dass sie seit ihrem Start im Vorjahr über 50 Millionen Dollar zurückgewonnen hat, lud Interessengruppen zur Bewerbung ein – darunter Börsen und Handelsplattformen, Blockchain-Projekte, Wallet- und Speicheranbieter, Mining-Pools und Infrastrukturanbieter, blockchain-fokussierte Cybersicherheitsunternehmen und Forscher sowie Regulierungs- und Compliance-Experten.
Bernhard Mueller analysiert den Angel Drainer Service
Bernhard Mueller veröffentlichte eine detaillierte Analyse von Angel Drainer, einem der berüchtigtsten Drainer-Dienste in Betrieb. Obwohl der Dienst eine Möglichkeit zur Umgehung der Blockaid-Erkennung bewirbt, markiert das standardmäßig in MetaMask aktivierte Blockaid-Feature die Transaktion dennoch als betrügerisch und vereitelt so den vollständigen Angriff.
LastPass-Nutzer von CryptoChameleon-Phishing angegriffen, das MFA umgeht
LastPass-Nutzer wurden Ziel einer ausgeklügelten Phishing-Kampagne, die E-Mails, SMS und Sprachanrufe kombinierte, um Master-Passwörter zu stehlen. Die Angreifer nutzten CryptoChameleon, ein Phishing-as-a-Service-Kit, das auf Kryptowährungskonten ausgerichtet ist und die Multi-Faktor-Authentifizierung (MFA) umgehen kann. Dabei wurden Nutzer dazu gebracht zu glauben, ihr LastPass-Konto sei von einem neuen Gerät aus aufgerufen worden, und auf eine Phishing-Seite zum Abfangen von Anmeldedaten weitergeleitet. LastPass ergriff Maßnahmen gegen die Kampagne, die Teil einer Reihe von Angriffen auf den Passwort-Manager ist, einschließlich eines erheblichen Datenlecks, das im Vorjahr bekannt gegeben wurde. Die Schutzmaßnahme ist einfach: Überprüfen Sie jede Kommunikation, die vorgibt, von einem Dienstanbieter zu stammen, indem Sie diesen über seine offizielle Website oder Support-Hotline kontaktieren, anstatt direkt zu antworten, und seien Sie vorsichtig bei unaufgeforderten, dringenden Aufforderungen, Informationen zu teilen, Links anzuklicken oder Anhänge herunterzuladen.
Google verklagt zwei Entwickler wegen 87 betrügerischer Krypto-Apps
Google reichte Klage ein gegen die Entwickler Yunfeng Sun und Hongnam Cheung wegen der Verbreitung von 87 betrügerischen Kryptowährungs-Apps im Google Play Store, von denen über 100.000 Nutzer betroffen waren – 8.700 davon in den USA. Die im Southern District of New York eingereichte Klage beschreibt, wie die Apps Nutzer mit dem Versprechen von Krypto-Investitionen anlockten und sie dann mit Gebühren für die Auszahlung angeblicher Renditen festhielten, sich als legitime Handelsplattformen tarnten und einer Entfernung entgingen, indem sie wiederholt ihre Identitäten und Netzwerkinfrastruktur änderten. Das Pig-Butchering-ähnliche Schema ist eine Erinnerung daran, die Legitimität einer App zu recherchieren und zu überprüfen – durch genaue Prüfung von Bewertungen und Social-Media-Feedback – und daran zu denken, dass Angebote, die zu gut erscheinen, um wahr zu sein, es in der Regel auch sind.
Krypto-Drainer auf ~2000 WordPress-Seiten eingesetzt
Fast 2.000 WordPress-Seiten wurden gehackt, um gefälschte NFT- und Rabatt-Popups anzuzeigen, die Besucher dazu verleiten, ihre Wallets mit Krypto-Drainern zu verbinden. Die Kampagne verbreitete zunächst Drainer über Anzeigen und YouTube, wechselte dann zu Brute-Force-Angriffen auf Admin-Passwörter und zeigt nun betrügerische NFT-Angebote an, die Nutzer dazu verleiten, Wallets mit bösartigen Skripten zu verbinden, die von dynamic-linx[.]com bereitgestellt werden. Nutzer sollten Wallets nur mit vertrauenswürdigen Plattformen verbinden, erhebliche Mittel in einer Hardware-Wallet aufbewahren, minimale Assets in alltäglichen Wallets halten und verschiedene Konten für unterschiedliche Risikoniveaus verwenden.
MetaMasks Krypto-Sicherheitsbericht für April 2024 behandelte ZachXBTs Untersuchung der 200 Millionen Dollar, die von der Lazarus Group gewaschen wurden, den Start des kostenlosen krypto-nativen ISAC der Security Alliance sowie eine CryptoChameleon-Phishing-Kampagne, die LastPass-Nutzer ins Visier nahm und dabei die Multi-Faktor-Authentifizierung umging. Stöbern Sie in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
