Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Der Februar 2024 war ein ereignisreicher Monat für MetaMask Security-Updates. Blockaid-gestützte Sicherheitswarnungen wurden standardmäßig in mehreren Ethereum-Netzwerken aktiviert, und wir haben unserem Open-Source-Tool LavaMoat eine umfassende LavaDome-Verteidigung hinzugefügt, die vor Supply-Chain-Angriffen schützt. Im weiteren Ökosystem wurde die Security Alliance (SEAL) – Heimat von SEAL 911 und einem neuen Whitehat Safe Harbor Agreement – öffentlich lanciert. Auf der Bedrohungsseite kaperten Drainer den X-Account von MicroStrategy für einen Phishing-Angriff in Höhe von 440.000 US-Dollar, und Forscher brachten weitere 6,2 Millionen US-Dollar an Diebstählen mit dem LastPass-Datenleck von 2022 in Verbindung. Die vollständige Übersicht finden Sie unten, aber zuerst...
MINT-Pionierin des Monats: Granville T. Woods, Erfinder des Induktions-Telegraphen
Granville T. Woods (1856–1910) war ein produktiver amerikanischer Erfinder und Elektroingenieur, der fast 60 Patente hielt – am bekanntesten für den Synchronous Multiplex Railway Telegraph, einen Induktions-Telegraphen, der fahrenden Zügen und Bahnhöfen die Kommunikation ermöglichte und die Eisenbahnsicherheit erheblich verbesserte. Woods, oft als „der schwarze Edison" bezeichnet, entwickelte Systeme, in denen zuverlässige Kommunikation selbst ein Sicherheitsmechanismus war – dasselbe Prinzip, das heute einer sicheren und vertrauenswürdigen Infrastruktur zugrunde liegt.
MetaMask aktiviert Blockaid-Sicherheitswarnungen standardmäßig in mehreren Netzwerken
MetaMask hat Blockaid-gestützte Sicherheitswarnungen in die Wallet integriert und diese automatisch in mehreren Ethereum Virtual Machine (EVM)-Netzwerken aktiviert, um dem wachsenden Problem bösartiger Transaktionen zu begegnen. Die neuen Sicherheitswarnungen bieten Millionen von MetaMask-Nutzern zusätzlichen Schutz vor Krypto-Phishing-Angriffen, die im Jahr 2023 stark zugenommen haben. Blockaid-gestützte Warnungen sind ein weiteres Werkzeug zum Schutz vor Betrug – eines, das am besten in Kombination mit grundlegenden Sicherheitsgewohnheiten funktioniert. Sie bieten eine echte Schutzschicht gegen bösartige Transaktionen, und in Verbindung mit Security Snaps werden Transaktionsdetails angezeigt, die MetaMask nicht nativ darstellt. Dennoch kann kein automatisiertes Tool Social Engineering verhindern, weshalb die Grundlagen am wichtigsten sind: keine unverifizierten Programme installieren, vorsichtig gegenüber gefälschten Kundendienst-Accounts in den DMs sein, skeptisch gegenüber allzu attraktiven Online-Personas bleiben und niemals den Private Key oder die Secret Recovery Phrase mit einer Website oder einer Person im Internet teilen.
Mehr Möglichkeiten zur Self-Custody: von der Secret Recovery Phrase bis zu Account Management Snaps
Self-Custody bedeutet, die eigenen Schlüssel selbst zu verwahren, anstatt sie einem Dritten zu überlassen – und legt die Sicherheit Ihrer Mittel in Ihre eigenen Hände. Diese Verantwortung ist real: Die 12-Wörter-Secret Recovery Phrase, die traditionell zur Erstellung einer MetaMask Wallet benötigt wird, kann schwer gleichzeitig geheim und sicher zu halten sein. Daher erweitert MetaMask die Möglichkeiten zur Kontoverwaltung bei gleichzeitiger Self-Custody. Es wurden Account Management Snaps eingeführt – ein erlaubnisfreier Weg für Teams, die diese Lösungen entwickeln und sie MetaMask-Nutzern bereitstellen möchten. Im Februar 2024 wurde die Keyring API in der MetaMask Extension veröffentlicht, damit Entwickler eigene Kontoverwaltungskonzepte umsetzen können. Nutzer sind eingeladen, die ersten drei Snaps in der experimentellen Beta auszuprobieren: Silent Shard, Safeheron und Capsule. Feedback ist über die Feedback-Seite willkommen.
Einführung von LavaMoat LavaDome für Defense-in-Depth bei kritischen Inhalten
LavaDome ist das neueste experimentelle Tool in der LavaMoat-Toolbox für Supply-Chain-Sicherheit. Mithilfe der Shadow DOM Web API können damit rein frontend-seitige Komponenten implementiert werden, die Interaktionen ausschließlich mit dem Nutzer und vertrauenswürdigem Code erlauben, während Zugriffsversuche durch nicht vertrauenswürdiges JavaScript und CSS blockiert werden. Das Ziel ist Defense-in-Depth: der Schutz der kritischsten Inhalte, die in LavaMoat-geschützten Apps angezeigt werden – selbst wenn alle anderen Schutzmaßnahmen überwunden wurden.
Die Security Alliance (SEAL) stellt sich vor
Die Security Alliance (SEAL), eine gemeinsame Initiative der Cybersicherheits-Community zur Verbesserung der Sicherheit im gesamten Krypto-Ökosystem, wurde am 14. Februar 2024 öffentlich lanciert. Sie hatte bereits im Verborgenen agiert und Initiativen wie SEAL 911 (ein Schnellreaktions-Helpdesk mit führenden Sicherheitsexperten) und SEAL Drills (Angriffssimulationstraining) geleitet. SEAL kündigte außerdem sein Whitehat Safe Harbor Agreement an – ein Rahmenwerk für ethische Hacker und Maximal Extractable Value (MEV)-Bots, die bei aktiven öffentlichen Sicherheitsvorfällen eingreifen. Es erlaubt ihnen, Exploits präventiv zu adressieren, sofern ein Angriff im Gange ist und etwaige zurückgewonnene Mittel an einen festgelegten Ort weitergeleitet werden. Wie SEAL-Mitgründer samczsun ankündigte, hatte die Gruppe etwa anderthalb Jahre lang privat an diesen Sicherheitsinitiativen gearbeitet, bevor sie öffentlich in Erscheinung trat.
Drainer missbrauchen MicroStrategys X-Account für einen Phishing-Angriff in Höhe von 440.000 US-Dollar
Der offizielle X-Account von MicroStrategy wurde am 26. Februar 2024 gehackt, um einen gefälschten Ethereum-basierten MSTR-Token-Airdrop zu bewerben. PeckShield warnte Nutzer vor dem Phishing-Link. Der Vorfall führte zu gestohlenen Mitteln in Höhe von ca. 440.000 US-Dollar, von denen der Großteil einem einzigen Opfer zuzurechnen sein soll. Der Angreifer begann, die Mittel zu verschieben, ließ dabei jedoch Ethereum im Wert von rund 195.000 US-Dollar in seiner Adresse zurück. Der Drainer wurde zum Zeitpunkt der Veröffentlichung nicht identifiziert, obwohl viele Forscher ihn Pink Drainer zuschrieben.
Wie beim früheren Hack von Vitalik Buterins X-Account können selbst vertrauenswürdige Social-Media-Accounts kompromittiert werden. Denken Sie immer daran, innezuhalten, bevor Sie auf einen Link klicken oder eine Transaktion unterzeichnen, erhebliche Mittel in einer Hardware Wallet aufzubewahren und verschiedene Kontotypen und Wallets für unterschiedliche Risikoniveaus zu verwenden.
Neue LastPass-Opfer verlieren 6,2 Millionen US-Dollar, während Diebstähle andauern
Beim jüngsten Diebstahl im Zusammenhang mit dem LastPass-Angriff verloren mehr als 22 Opfer zwischen dem 19. und 20. Februar 2024 zusammen 6,2 Millionen US-Dollar. Die gestohlenen Mittel wurden schnell von EVM-Netzwerken zu Bitcoin transferiert. Um die Nachverfolgung und Zuordnung zu erleichtern, dokumentierten ZachXBT und Taylor Monahan die vom Angreifer verwendeten On-Chain-Adressen in einem Chainabuse-Bericht. Dieser öffentliche Eintrag markiert die Wallets mit gestohlenen Mitteln, sodass Börsen, Wallets und andere Dienste diese überwachen, einfrieren oder sperren und potenzielle Opfer warnen können, bevor sie mit den Accounts des Angreifers interagieren.
Seit dem ursprünglichen LastPass-Datenleck haben Community-Mitglieder – Protokollgründer, Investoren, Entwickler und Nutzer, die ihre Secret Recovery Phrases in LastPass gespeichert hatten – über 10 Millionen US-Dollar verloren. Jeder, der LastPass vor dem Hack im Dezember 2022 genutzt hat, sollte seine gespeicherten Schlüssel als gefährdet betrachten, Guthaben in eine neue Wallet übertragen und erhebliche Mittel zur sicheren Offline-Aufbewahrung auf geprüfte Hardware Wallets verschieben.
MetaMasks Krypto-Sicherheitsbericht für Februar 2024 behandelte die Aktivierung Blockaid-gestützter Sicherheitswarnungen als Standard in mehreren Netzwerken, die Einführung von Account Management Snaps und der Keyring API sowie die öffentliche Vorstellung der Security Alliance (SEAL) – begleitet von einem 440.000-US-Dollar-Hack des MicroStrategy-X-Accounts und 6,2 Millionen US-Dollar an anhaltenden LastPass-bezogenen Diebstählen. Stöbern Sie in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
