Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.
Im Januar 2023 erweiterte MetaMasks LavaMoat seinen Sicherheits-Werkzeugkasten – mit der Einführung von LavaTube für rekursive Objektgraph-Analysen, dem Hinzufügen eines VR-Abhängigkeits-Explorers, der Überführung von Global Scuttling in den MetaMask Extension-Entwicklungszweig und der Bereitstellung von Cross-Browser-Unterstützung für Snow – während Endo seine LavaMoat-ähnliche Policy-Unterstützung in die abschließende Überprüfung brachte. Auf der Bedrohungsseite gewannen Address-Poisoning-Betrugsmaschen an Bedeutung, indem sie die Transaktionshistorien der Opfer mit täuschend ähnlichen Adressen bestückten; Sicherheitsforscher rückten Read-Only-Reentrancy als aufkommenden DeFi-Angriffsvektor in den Fokus, und es kursierten Warnungen vor Remote-Access-Trojanern, die in gefälschten Spiel-Downloads versteckt waren, sowie vor einer Chrome-Schwachstelle, die über gefälschte Wallet-Websites ausgenutzt wurde. Die vollständige Übersicht folgt weiter unten – aber zuerst...
MINT-Pionierin im Fokus: Joan Clarke, Codeknackerin aus Bletchley Park und Banburismus-Expertin
Joan Clarke (1917–1996) war die einzige Frau, von der bekannt ist, dass sie Banburismus anwandte – das sequenzielle bayesianische kryptoanalytische Verfahren, das Alan Turing entwickelte, um den Arbeitsaufwand der Enigma-Entschlüsselungsmaschinen in Bletchley Park während des Zweiten Weltkriegs zu reduzieren. Clarkes Fähigkeit, subtile statistische Muster in scheinbar zufälligen Daten zu erkennen, spiegelt die Herausforderung wider, vor der Nutzer von Self-Custodial Wallets stehen, die bei Address-Poisoning-Angriffen legitime Adressen von nahezu identischen Fälschungen unterscheiden müssen. Clarke wurde 1946 für ihre Beiträge zur Kriegsintelligenz mit einem MBE ausgezeichnet.
Address-Poisoning-Betrug nutzt täuschend ähnliche Wallet-Adressen, um Nutzer zu täuschen
Address Poisoning gewann zu Beginn des Jahres 2023 als Betrugsmethode an Bedeutung. Angreifer generieren Wallet-Adressen, die dieselben ersten und letzten Zeichen wie die legitimen Kontakte eines Ziels aufweisen, und senden dann Token-Transfers mit null oder vernachlässigbarem Wert an das Ziel. Diese Transaktionen erscheinen in der Transaktionshistorie des Opfers, und wenn das Opfer später eine Adresse aus dieser Historie kopiert – dabei nur auf die Übereinstimmung der ersten und letzten Zeichen vertraut, anstatt die vollständige Zeichenkette zu überprüfen – sendet es unwissentlich Gelder an den Angreifer. Der Betrug nutzt die praktische Unmöglichkeit aus, vollständige 42-stellige hexadezimale Adressen auswendig zu lernen, sowie die verbreitete Gewohnheit, nur Adresspräfixe und -suffixe zu überprüfen.
Anmerkung der Redaktion: MetaMask Address Poisoning Detection ist jetzt für alle Nutzer verfügbar.
Read-Only-Reentrancy entwickelt sich zum DeFi-Angriffsvektor gegen Price Oracles
Read-Only-Reentrancy – eine Variante des klassischen Reentrancy-Angriffs – rückte im Januar 2023 verstärkt in den Fokus von Solidity-Entwicklern. Im Gegensatz zu herkömmlichem Reentrancy, das auf zustandsverändernde Funktionen abzielt, nutzt Read-Only-Reentrancy View-Funktionen aus, die Preise oder Guthaben melden. Während eines Callback-Fensters innerhalb einer zustandsverändernden Transaktion löst ein Angreifer einen Lesevorgang auf einer View-Funktion aus, die veraltete oder inkonsistente Daten zurückgibt; Protokolle, die diese Werte für Price Oracles oder Sicherheitenberechnungen verwenden, handeln dann auf Basis manipulierter Preise. Der Sicherheitsforscher bytes032 veröffentlichte am 20. Januar 2023 einen viel geteilten Thread, der die Schwachstelle aufschlüsselt und über die neu gegründete Web3Security DAO veröffentlicht wurde.
LavaTube ermöglicht rekursives JavaScript-Objektgraph-Traversal für die Sicherheitsforschung
LavaMoat stellte @lavamoat/lavatube vor – ein Tool, das rekursiv jede Eigenschaft jedes Werts besucht, der von einer gegebenen Startreferenz in einem JavaScript-Objektgraph aus zugänglich ist. Das MetaMask-Sicherheitsforschungsteam nutzt LavaTube, um gefährliche Referenzlecks zu identifizieren – Fälle, in denen Objekte oder APIs, die eigentlich isoliert sein sollten, unbeabsichtigt Pfade zu mächtigen Globals oder sensiblen Daten in den von ihnen geschützten Apps offenlegen.
LavaMoat liefert VR-Abhängigkeits-Explorer, Global Scuttling und Cross-Browser-Snow
@lavamoat/viz erhielt einen neuen VR-Modus, der es Entwicklern ermöglicht, den Abhängigkeitsgraph ihres Projekts in einer immersiven dreidimensionalen Umgebung zu erkunden. Separat davon wurde Global Scuttling – das mächtige eingebaute Funktionen aus dem Window entfernt, nachdem LavaMoat sie für die richtlinienbasierte Ausstattung erfasst hat – in den Entwicklungszweig der MetaMask Extension eingeführt. Nach der Auslieferung würde selbst eine bösartige React-Komponente, die auf das Window zugreift, die mächtigen Funktionen bereits entfernt vorfinden. @lavamoat/snow, LavaMoats Realm-Sicherheitstool, fügte in seiner neuesten Version außerdem Unterstützung für alle gängigen Browser hinzu und gibt MetaMask vollständige Sichtbarkeit in alle Realms sowohl in Chrome als auch in Firefox.
Endo nähert sich LavaMoat-ähnlicher Policy-Unterstützung mit einem sicheren Bundler in der Überprüfung
Das Endo-Projekt erreichte die abschließende Überprüfung seiner ersten Iteration der LavaMoat-ähnlichen Policy-Unterstützung. Für vollständige Parität mit LavaMoat-Richtlinien waren noch kleinere Funktionen ausstehend, jedoch waren keine Breaking Changes geplant. Eine frühe Implementierung eines sicheren Bundlers, der Scopes kontrolliert, ohne auf eval angewiesen zu sein – wodurch eine häufige Angriffsfläche in JavaScript-Modulsystemen eliminiert wird – befand sich ebenfalls in der Überprüfung.
Gefälschte Spiel-Downloads als Verbreitungsweg für Remote-Access-Trojaner gewarnt
Am 17. Januar 2023 warnte MetaMask-Sicherheitsforscher harry.eth (@sniko_) vor einem erwarteten Wiederaufleben von Remote-Access-Trojanern (RATs), die über gefälschte Spiel-Downloads verbreitet werden. Das Social-Engineering-Muster beinhaltet einen Angreifer, der sich als Vertreter eines Metaverse-Spielprojekts ausgibt und kostenlose Token im Austausch für das „Testen" eines Spielclients anbietet, der tatsächlich ein RAT-Installer ist. Nach der Installation kann ein RAT einem Angreifer vollständigen Fernzugriff auf das Gerät des Opfers verschaffen, dem typischerweise DeFi-Phishing folgt, um Token zu entwenden.
Wallet Guard meldet Chrome-Schwachstelle, die über gefälschte Wallet-Download-Seiten ausgenutzt wird
Wallet Guard warnte Nutzer zur Vorsicht bei Downloads, nachdem eine Google-Chrome-Schwachstelle dokumentiert wurde, die zum Stehlen von Krypto-Wallet-Daten genutzt werden konnte. Die Schwachstelle, die am 29. November 2022 in Chrome 108 behoben wurde, erforderte, dass ein Opfer eine gefälschte Krypto-Wallet-Website besucht und seine Secret Recovery Phrase „herunterlädt", woraufhin der Angreifer symbolische Linkdateien missbrauchen konnte. Der wesentliche Ratschlag: Lade keine zufälligen Dateien aus nicht vertrauenswürdigen Quellen herunter.
MetaMasks Krypto-Sicherheitsbericht für Januar 2023 behandelte Address-Poisoning-Betrugsmaschen, die Transaktionshistorien mit täuschend ähnlichen Adressen bestücken, Read-Only-Reentrancy als eigenständigen DeFi-Angriffsvektor sowie die Einführung von LavaTube durch LavaMoat zur Aufdeckung gefährlicher Referenzlecks in JavaScript-Objektgraphen. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
