Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im August 2023 starteten Sicherheitsexperten von MetaMask, Paradigm, Yearn und Polygon Seal 911 – eine experimentelle Telegram-Hotline für Krypto-Notfälle. Gleichzeitig trat MetaMask auf der Defcon sowie bei Ethereum Argentina auf, und Gal Weizman setzte mit Snow eine mutigere, sicherheitsorientierte Richtung. Im Hintergrund automatisierte LavaMoat seine Releases und trieb das ScorchWrap-Plugin sowie SES-Lockdown für Mobile voran. Darüber hinaus berichteten wir über einen weiteren realen Supply-Chain-Angriff: ein typosquattetes Ethereum-npm-Paket, das private Schlüssel stahl – genau die Art von Bedrohung, die LavaMoat abwehren soll. Die vollständige Analyse finden Sie unten, aber zuerst...
MINT-Pionier im Fokus: Émile Baudot, Erfinder des Baudot-Codes
Émile Baudot (1845–1903) war ein französischer Telegrafieingenieur, der den Baudot-Code erfand – eine frühe Zeichenkodierung fester Länge, die zu den ersten praktischen Mitteln der digitalen Kommunikation zählte und als Vorläufer von ASCII gilt. Die Einheit „Baud" ist nach ihm benannt. Seine Arbeit zur Standardisierung der Informationskodierung und -übertragung bildet das Fundament für den sicheren und zuverlässigen Datenaustausch, auf den das Ökosystem heute angewiesen ist.
Sicherheitsexperten starten Seal 911, eine Telegram-Hotline für Krypto-Notfälle
Sicherheitsexperten von MetaMask sowie von Paradigm, Yearn und Polygon haben gemeinsam eine experimentelle Telegram-Bot-Hotline für Nutzer in Krypto-Notfällen ins Leben gerufen. MetaMasks Taylor Monahan und Harry Denley waren an dem Projekt beteiligt, das den Namen Seal 911 trägt. Wie samczsun am 8. August 2023 erklärte, wollte die Gruppe das schwierigste Problem bei der verantwortungsvollen Offenlegung lösen: die richtige Ansprechperson zu finden. Das Ergebnis ist ein Seal 911-Bot, den jeder im Notfall nutzen kann, um vertrauenswürdige Mitglieder der Sicherheitscommunity und deren umfangreiches Kontaktnetzwerk zu erreichen.
Gal Weizman: Snow stellt Sicherheit über Verbreitung und Funktionalität
Im aktuellen Update zu LavaMoats Snow signalisierte MetaMasks Gal Weizman eine mutigere Richtung: „Heute ist ein bedeutender Tag im Leben von Snow, an dem wir zur reifen Erkenntnis gelangen, dass das Projekt, um nicht länger nur reaktiver Sicherheit nachzujagen, mutige Schritte unternehmen muss – auch auf Kosten von Verbreitung und funktionalem Verhalten." Mit anderen Worten: Snow wird stärkere Sicherheitsgarantien priorisieren, auch wenn dies Komfort oder Kompatibilität einschränkt.
Zbigniew Tenerowicz und Kumavis leiten einen Workshop zu Defensive Coding im AppSec Village der Defcon
Beim AppSec Village der Defcon im August 2023 in Las Vegas leiteten MetaMasks Zbigniew Tenerowicz (ZB) und Kumavis einen Workshop zu Defensive Coding über gehärtetes JavaScript und Software-Supply-Chain-Risiken. Eine Aufzeichnung gibt es zwar nicht, aber die Kursunterlagen und Folien sind verfügbar.
„Haben Sie schon von der Software-Supply-Chain gehört? Ja, das ist das Thema, bei dem sich herausstellt, dass Sie doch für das verantwortlich sind, was Ihre App aus dem
Antonela Debiasi hinterfragt das Vertrauen in technologische Intermediäre bei Ethereum Argentina
Die Spezialistin für sicheres Design, Antonela Debiasi, trat bei Ethereum Argentina auf der Hauptbühne auf, um das Vertrauensmodell in Kryptowährungsnetzwerken zu untersuchen und dabei zwischen Vertrauensindikatoren und Indikatoren für Unternehmenssicherheit zu unterscheiden.
LavaMoat und Endo treiben Release-Automatisierung, ScorchWrap und SES-Lockdown für Mobile voran
Das LavaMoat-Monorepo wechselt zu npm-Workspaces und release-please für das Release-Management, wodurch LavaMoat-Releases automatisiert und deutlich schneller werden. Das ScorchWrap-Webpack-Plugin unterstützt nun mehrere Entry Points und Chunks, und die Durchsetzung von Richtlinien für Modulanforderungen ist implementiert; die verbleibende Arbeit für die erste Beta besteht in der Durchsetzung von Richtlinien für globale Variablen. Unterdessen wird SES-Lockdown in zwei Phasen aufgeteilt, um „Vetted Shims" auf Intrinsics nach der Reparatur, aber vor dem Einfrieren anzuwenden – eine Änderung, die die Kompatibilität verbessern und einen der letzten Blocker für den Betrieb von MetaMask Mobile mit Lockdown beseitigen soll. Auf Mobile sperrt SES weiterhin vor dem Bundle und erlaubt reflect-metadata als vertrauenswürdigen Shim, da es eine direkte Abhängigkeit von @consensys/on-ramp-sdk ist, das als Higher-Order-Component um den Settings-Screen gewickelt wird.
Typosquattetes Ethereum-npm-Paket stiehlt private Schlüssel – genau die Art von Angriff, die LavaMoat bekämpft
Phylum berichtete Anfang August 2023, dass es auf eine Reihe verdächtiger npm-Veröffentlichungen aufmerksam gemacht worden war, darunter ein Typosquat einer beliebten Kryptowährungs-Bibliothek sowie eine Abhängigkeit, die bösartigen Code tief in einer großen Datei versteckte, die die meisten Entwickler niemals genau prüfen würden. Das Paket leitete private Schlüssel an einen Remote-Server weiter – genau die Art von Software-Supply-Chain-Angriff, für deren Abwehr LavaMoat entwickelt wurde.
MetaMasks Krypto-Sicherheitsbericht für August 2023 behandelte den Start von Seal 911, einer organisationsübergreifenden Telegram-Hotline für Krypto-Notfälle, eine mutige neue sicherheitsorientierte Ausrichtung für Snow sowie ein typosquattetes Ethereum-npm-Paket, das private Schlüssel stahl. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
