Krypto-Sicherheitsbericht: August 2022

Jeden Monat berichtet das MetaMask Security-Team über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.

Im August 2022 bewies das Endo-Projekt die LavaMoat-ähnliche Policy-Durchsetzung in seinem Compartment Mapper, das Snow-Tool behob mehrere Schwachstellen und erkundete die SES-Lockdown-Integration, und MetaMasks HackerOne-Bug-Bounty-Programm zahlte in den ersten zwei Monaten 22.000 USD für fünf behobene Probleme aus. Auf der Bedrohungsseite nutzten Phishing-Gruppen die Verwirrung rund um Ethereums bevorstehenden Merge aus: Sie versendeten Massen-E-Mails, die vertrauenswürdige Unternehmen wie Infura imitierten und eine nicht existierende „ETH 2.0"-Konvertierung bewarben, während die breitere Betrugsökonomie Schritt hielt: Schätzungsweise 64.661 neue Honeypot-Token wurden 2022 lanciert – ein Anstieg von 83 % gegenüber 2021. Die vollständige Übersicht findest du unten, aber zuerst...

MINT-Pionierin im Fokus: Leslie Lamport, Begründer der Theorie der byzantinischen Fehlertoleranz und Schöpfer von LaTeX

Leslie Lamports Paper von 1982 „The Byzantine Generals' Problem" formalisierte die Herausforderung, unter verteilten Knoten einen Konsens zu erzielen, wenn einige davon böswillig handeln könnten – genau das Problem, das Proof-of-Stake- und Proof-of-Work-Protokolle lösen, um Blockchain-Netzwerke zu sichern. Sein Paxos-Konsensalgorithmus bildet die Grundlage moderner verteilter Systeme, und er entwickelte LaTeX, das Dokumentenvorbereitungssystem, das in der wissenschaftlichen Publikation weit verbreitet ist. Lamport erhielt 2013 den ACM Turing Award.

Ethereum-Merge-Phishing-Kampagnen imitieren vertrauenswürdige Unternehmen mit gefälschten ETH-2.0-Konvertierungsbetrug

Im August 2022 intensivierten Betrüger Phishing-Kampagnen, die darauf ausgelegt waren, die Verwirrung und Unsicherheit rund um Ethereums Merge-Netzwerk-Upgrade (abgeschlossen am 15. September 2022) auszunutzen. Ausgeklügelte E-Mails, die vertrauenswürdige Unternehmen wie Infura imitierten, kursierten und forderten Nutzer auf, „ihr ETH in ETH 2.0 umzuwandeln" – einen nicht existierenden Token. Der Merge vollzog Ethereums Übergang von Proof-of-Work zu Proof-of-Stake und erforderte keinerlei Nutzeraktion: kein Token-Swap, keine neue Wallet und keine ETH-Migration. Kurz vor dem Merge veröffentlichte Consensys Inhalte zur Richtigstellung von Mythen, um der Fehlinformation entgegenzuwirken. Nutzer, die ETH in einer EVM-kompatiblen Self-Custody-Wallet wie MetaMask hielten, mussten nach dem Merge-Netzwerk-Upgrade keine Maßnahmen ergreifen.

Krypto-Honeypot-Betrug nutzt versteckte Smart-Contract-Beschränkungen, um Käuferfonds zu fangen

Consensys veröffentlichte einen Leitfaden zur Funktionsweise von Honeypot-Betrug, der erklärt, wie Angreifer Smart Contracts einsetzen, die scheinbar profitable Handelsmöglichkeiten bieten, aber versteckten Code enthalten, der Käufer am Verkauf hindert. Der Contract erlaubt Käufe und treibt so den Token-Preis in die Höhe, während eine verborgene Beschränkung alle Verkaufstransaktionen außer denen der Deployer-Adresse blockiert. Häufige Warnsignale sind Token ohne Verkaufshistorie, nicht verifizierter Contract-Quellcode und Liquiditätspools mit nur einer Wallet.

Endo-Compartment-Mapper beweist LavaMoat-ähnliche Policy-Durchsetzung im Proof of Concept

Das Endo-Projekt schloss einen Proof of Concept ab, der LavaMoat-ähnliche Sicherheits-Policy in seinen Compartment Mapper integriert. Das Experiment demonstrierte die selektive Ausstattung von Globals und den kontrollierten Zugriff auf Abhängigkeiten, wobei die Policy zum Ladezeitpunkt oder bei der Archivierung definiert, in den Compartment Mapper eingebettet und während der Linking-Phase durchgesetzt wird. Geplante Folgearbeiten umfassten Verbesserungen bei Paket-Identifikatoren, Unterstützung verschachtelter Eigenschaften in Policy-Globals, das Wrapping und Unwrapping dieser Werte für ausgestattete Funktionen sowie weitere Experimente mit integrierter Attenuation.

Snow behebt mehrere Schwachstellen und erkundet die SES-Lockdown-Integration

Snow, das LavaMoat-Tool, das rekursive Sicherheits-Policy für alle innerhalb einer Webanwendung erstellten iFrames und Fenster durchsetzt, durchlief eine Runde von Tests und Exploits. Mehrere Schwachstellen wurden identifiziert und behoben, wobei eine davon eine wesentliche Verbesserung von Snows interner Sicherheitsarchitektur auslöste. Der Fix eröffnete die Möglichkeit, SES lockdown() – die Secure-ECMAScript-Härtungsfunktion – zu integrieren, um Snows Abwehr gegen Realm-basierte Angriffe weiter zu stärken. LavaMoat begann außerdem mit einer Überarbeitung der Dokumentation seiner Tools.

HackerOne-Bug-Bounty vergibt 22.000 USD für 5 behobene Probleme in den ersten zwei Monaten

Unser Bug-Bounty-Programm auf HackerOne, gestartet am 13. Juni 2022, erhielt in den ersten zwei Monaten 171 Meldungen. Die durchschnittliche Erstantwortzeit betrug 5 Stunden. Fünf Probleme wurden behoben – 1 mit hohem, 3 mit mittlerem und 1 mit niedrigem Schweregrad – und 22.000 USD wurden an die Melder ausgezahlt. Die mittlere Reparaturzeit (Mean Time to Repair) für diese Probleme betrug 44,4 Tage. Zu den im Scope befindlichen Assets gehörten MetaMask Extension (MetaMask/metamask-extension) und MetaMask Mobile (MetaMask/metamask-mobile).

Behobene Bug-Bounty-Probleme (erste zwei Monate):

MetaMasks Krypto-Sicherheitsbericht für August 2022 behandelte Ethereum-Merge-Phishing-Kampagnen, die vertrauenswürdige Unternehmen mit gefälschten ETH-2.0-Konvertierungsbetrügereien imitierten, die Funktionsweise von Krypto-Honeypot-Betrug mit schätzungsweise 64.661 neuen Honeypot-Token, die 2022 eingesetzt wurden, sowie Endos Proof-of-Concept-Integration der LavaMoat-ähnlichen Policy-Durchsetzung in seinen Compartment Mapper. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.