Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Dezember 2022 veröffentlichte LavaMoat seine Schutzmaßnahme gegen Bin-Confusion-Angriffe hinter einem experimentellen Flag, der Compartment-Mapper-Bundler von Endo bestand einen ersten CommonJS-Proof-of-Concept, und die Node.js Security Working Group schlug ein Permission Model auf Prozessebene vor, das den paketbasierten Ansatz von LavaMoat ergänzt. Auf der Bedrohungsseite verbreitete die nordkoreanische Lazarus Group eine neue AppleJeus-Malware-Variante über gefälschte Krypto-Apps, und ein monatelanger Social-Engineering-Betrug entwertete 14 Bored Apes im Wert von 1,07 Millionen US-Dollar. Zum Jahresabschluss überschritt das HackerOne-Bug-Bounty-Programm die Marke von 100 Forschern, PhishFort verfolgte 19.571 Phishing-Angriffe unter dem MetaMask-Markennamen, und MetaMask sowie Laconic lancierten die Anti-Phishing-Initiative MobyMask. Die vollständige Übersicht finden Sie unten, aber zuerst...
MINT-Pionierin im Fokus: Hedy Lamarr, Miterfinderin des Frequenzsprungverfahrens
Hedy Lamarr (1914–2000) patentierte gemeinsam mit dem Komponisten George Antheil 1942 ein „Secret Communication System", das Frequenzsprünge nutzte, um funkgesteuerte Torpedosignale vor Störangriffen zu schützen. Die Idee, ein Signal über schnell wechselnde Frequenzen zu verteilen, legte den Grundstein für die moderne Spread-Spectrum-Technologie, die in WLAN, Bluetooth und GPS zum Einsatz kommt – also jene drahtlosen Protokolle, über die Nutzer von Self-Custody-Wallets eine Verbindung zu Blockchain-Netzwerken herstellen. Lamarr wurde 2014 in die National Inventors Hall of Fame aufgenommen.
LavaMoat veröffentlicht Schutzmaßnahme gegen Bin-Confusion-Angriffe hinter einem experimentellen Flag
LavaMoat veröffentlichte @lavamoat/allow-scripts mit dem Flag --experimental-bins und bietet damit Schutz vor npm-Bin-Script-Confusion-Angriffen für npm- und Yarn-1-Projekte. Die Schutzmaßnahme verhindert, dass bösartige Pakete legitime CLI-Befehle über das Verlinkungsverhalten des npm-Bin-Felds kapern.
Endo erweitert seinen Compartment-Mapper-Bundler um CommonJS-Unterstützung
Die Arbeit am Bundling intensivierte sich im Endo-Projekt. Eine Reihe von Kompatibilitätskorrekturen brachte den Compartment-Mapper-Bundler einem praxistauglichen Einsatz näher, und ein erster Proof of Concept für CommonJS-Unterstützung bestand seine Tests.
Node.js Security Working Group schlägt ein Permission Model vor, das mit LavaMoat harmoniert
Die Node.js Security Working Group erarbeitete einen ersten Vorschlag für ein Permission Model zur Ergänzung des bestehenden Policy-Systems. Das Ziel ähnelt dem von LavaMoat: den Systemzugriff für semi-vertrauenswürdigen Drittanbieter-Code einzuschränken. Der vorgeschlagene Ansatz ähnelt Denos Permissions System, indem er den Systemzugriff auf Prozessebene konfiguriert, während LavaMoat eine granularere Isolation ermöglicht, indem der Zugriff auf Paketebene innerhalb eines Prozesses konfiguriert wird. Sobald das Node.js Permission Model ausgereift und ausgeliefert ist, sollte es in Verbindung mit LavaMoat für einen stärkeren Supply-Chain-Schutz einsetzbar sein.
Lazarus Group verbreitet AppleJeus-Malware über gefälschte Krypto-Anwendungen
Die nordkoreanische Lazarus Group wurde dabei beobachtet, wie sie eine neue Variante der AppleJeus-Malware über gefälschte Kryptowährungs-Anwendungen und -Websites verbreitete, über die ahnungslose Nutzer die Malware unbeabsichtigt herunterladen konnten. Die Aktivität wurde von Volexity gemeldet und am 5. Dezember 2022 von The Hacker News aufgegriffen.
Social-Engineering-Betrug stiehlt 14 Bored Apes im Wert von 1,07 Millionen US-Dollar
Der Sicherheitsanalyst Serpent dokumentierte einen monatelangen Social-Engineering-Betrug, bei dem 14 BAYC-NFTs im Wert von über 852 ETH (1,07 Millionen US-Dollar) von einem einzigen Sammler gestohlen wurden. Die Analyse wurde am 17. Dezember 2022 veröffentlicht. Social Engineering blieb das gesamte Jahr über eines der wirksamsten Mittel für Angreifer, wobei ausgeklügelte Betrügereien wie diese über Wochen statt Minuten abliefen.
HackerOne-Bug-Bounty-Programm baut 2022 ein Netzwerk von über 100 Forschern auf
Über sein HackerOne-Bug-Bounty-Programm baute MetaMask Beziehungen zu über 100 einzigartigen Forschern auf, die dabei halfen, im Laufe des Jahres zahlreiche Sicherheitslücken zu identifizieren und so zu einer sichereren Nutzererfahrung beizutragen. Das Programm begrüßte weiterhin neue Teilnehmer, die Bounties anstreben.
PhishFort erkennt 2022 insgesamt 19.571 Phishing-Angriffe unter dem MetaMask-Markennamen
Im Laufe des Jahres erkannte PhishFort 19.571 Angriffe unter Verwendung des MetaMask-Markennamens und nahm innerhalb der letzten 30 Tage erfolgreich 1.873 Kampagnen vom Netz. MetaMask betrieb zudem Initiativen zur Blockierung bekannter Phishing-Seiten sowohl in der Browser-Erweiterung als auch in der mobilen App, die MetaMask-Imitationen und andere Web3-Markenfälschungen abdecken. Die Blocklist wird von Consensys/MetaMask verwaltet und mehrmals täglich aktualisiert.
MetaMask und Laconic lancieren die Anti-Phishing-Initiative MobyMask
MetaMask stellte MobyMask vor, eine neue Initiative zum proaktiven Schutz von Nutzern vor Phishing, die ein dynamisches Vertrauensnetz zur Erfassung von Phishing-Meldungen nutzt und mit Unterstützung von Laconic entwickelt wurde.
MetaMasks Krypto-Sicherheitsbericht für Dezember 2022 behandelte die neue AppleJeus-Malware der Lazarus Group, die über gefälschte Krypto-Anwendungen verbreitet wurde, einen monatelangen Social-Engineering-Betrug, bei dem 14 Bored Apes im Wert von 1,07 Millionen US-Dollar gestohlen wurden, sowie einen Jahresrückblick mit LavaMoats Bin-Confusion-Schutzmaßnahme, PhishForts Phishing-Abschaltungen und dem Launch der Anti-Phishing-Initiative MobyMask. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
