Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Juli 2022 veröffentlichte das LavaMoat-Projekt drei experimentelle Browser-Abwehrtools – Securely, Snow und Across – um Prototype-Pollution- und Cross-Realm-JavaScript-Angriffe abzuwehren, während das Endo-Projekt seine lang laufende CommonJS-Support-Roadmap abschloss. Auf der Bedrohungsseite meldete MetaMask-Sicherheitsforscher harry.eth einen gefälschten $UNI-Airdrop, der 73.399 Uniswap-Liquiditätsanbieter um rund 8 Millionen US-Dollar phishte, sowie einen YouTube-Betrug, der gefälschte MEV-Frontrunning-Bots bewarb, deren verschleierte Solidity-Contracts hinterlegtes ETH abschöpften. MetaMask veröffentlichte außerdem einen Leitfaden zur Vermeidung von NFT-Betrug auf Discord, Twitter und Telegram, und das HackerOne-Bug-Bounty-Programm nahm weiterhin Meldungen entgegen. Die vollständige Übersicht finden Sie unten – aber zuerst...
MINT-Pionier im Fokus: Ralph Merkle, Erfinder des kryptografischen Hashings und der Merkle-Bäume
Ralph Merkle erfand in den 1970er Jahren gemeinsam mit Whitfield Diffie und Martin Hellman die Public-Key-Kryptografie und entwickelte als Student an der UC Berkeley unabhängig davon Merkle's Puzzles. Seine Doktorarbeit an der Stanford University von 1979 führte Merkle-Bäume (Hash-Bäume) und die Merkle-Damgård-Konstruktion ein, die den Hash-Funktionen zugrunde liegt, die bei der Blockchain-Verifizierung, digitalen Signaturen und den Integritätsprüfungen verwendet werden, auf die Self-Custodial-Wallet-Software angewiesen ist. Merkle erhielt 2010 die IEEE Richard W. Hamming Medal und wurde 2011 in die National Inventors Hall of Fame aufgenommen.
LavaMoat veröffentlicht Securely, Snow und Across für JavaScript-Abwehr auf Browser-Ebene
MetaMasks Open-Source-Projekt LavaMoat veröffentlichte 3 experimentelle Tools, die browserbasierte Anwendungen gegen JavaScript-Supply-Chain-Angriffe absichern sollen:
Securely bewahrt den exklusiven Zugriff auf native Browser-APIs (wie fetch), selbst wenn Drittanbieter-Code, der im selben Ausführungskontext läuft, diese durch Prototype Pollution oder Man-in-the-Browser (MITB)-Techniken manipuliert hat. Snow fängt jeden neu erstellten iframe oder Realm innerhalb einer Webanwendung ab und wendet dieselbe Sicherheitsrichtlinie an, die für das Top-Level-Fenster gilt – damit wird eine gängige Angreifertechnik unterbunden, bei der neue iframes erzeugt werden, um unmanipulierte API-Referenzen zu erhalten. Snow baut auf Securely auf. Across stellt einen gesicherten Kommunikationskanal zwischen zwei Skripten her, die an dasselbe DOM angehängt sind und anhand ihrer Quell-URL identifiziert werden, ohne dass ein serverseitiger Vermittler erforderlich ist. Across nutzt sowohl Securely als auch Snow zum Schutz des Kanals.
Alle drei Tools wurden als experimentell veröffentlicht. Demos sind verfügbar für Securely, Snow und Across.
Endo schließt CommonJS-Support-Roadmap mit abschließenden Fixes
Das Endo-Projekt führte abschließende Fixes für die CommonJS-Modulunterstützung zusammen und schloss das CommonJS-Support-Tracking-Issue (endojs/endo #1055), das seit Anfang 2022 offen war. Die laufenden Arbeiten an der TC39-Modulspezifikation warfen Fragen auf, ob virtualisierte Modul-Loader den Import von CommonJS-Modulen mit spezifischen Getter- und Setter-Anforderungen unterstützen sollten. Weitere Forschungsarbeiten in diesem Bereich könnten zusätzliche Änderungen an Endos CommonJS-Unterstützung anstoßen oder diese als Prior Art für die Spezifikation positionieren.
Gefälschter $UNI-Airdrop phisht 73.399 Uniswap-LP-Adressen
Am 11. Juli 2022 meldete unser Sicherheitsforscher harry.eth eine Phishing-Kampagne, die einen schädlichen Token an 73.399 Adressen versendete, die Liquidität auf Uniswap bereitgestellt hatten, und dabei einen $UNI-Airdrop vortäuschte. Der Angriff ging von der Adresse 0xcf39b7793512f03f2893c16459fd72e65d2ed00c aus und begann etwa zwei Stunden vor der Entdeckung. Nutzer, die mit dem Token interagierten, wurden aufgefordert, eine setApprovalForAll()-Transaktion zu unterzeichnen, die dem Angreifer Zugriff auf ihre LP-Positionen gewährte. Die Kampagne erbeutete letztendlich rund 8 Millionen US-Dollar von den Opfern. Die Schwachstelle lag nicht im Uniswap-Protokoll selbst.
YouTube-MEV-Frontrunning-Bot-Tutorials zum Diebstahl von Krypto genutzt
Im Juli 2022 meldete unser Sicherheitsforscher harry.eth auch einen Betrugs-Tutorial, der auf YouTube kursierte und auf einem Kanal mit 26.400 Abonnenten 97.000 Aufrufe verzeichnete. Die Videos, typischerweise mit Titeln wie „How to make $XXX/day on Uniswap", wiesen Nutzer an, einen Solidity-Contract zu deployen, der als MEV-Frontrunning-Bot beschrieben wurde. Der deployete Contract enthielt verschleierten Code, der beim Aufladen das hinterlegte ETH direkt an die Wallet des Angreifers übertrug. Der Betrug nutzte legitime MEV-Terminologie, um glaubwürdig zu wirken.
MetaMask veröffentlicht Leitfaden zur Vermeidung von NFT-Betrug
Wir haben einen Support-Artikel darüber veröffentlicht, wie man NFT-Betrug vermeidet, der gängige Angriffsvektoren auf Discord, Twitter und Telegram abdeckt, wo Betrüger NFT-Community-Kanäle ausnutzen, um Inhaber zu phishen. Der Artikel behandelt schädliche Mint-Links, gefälschte Airdrop-Ankündigungen, kompromittierte Community-Manager-Konten und DM-basiertes Social Engineering. Zu den wichtigsten Empfehlungen gehören die Überprüfung von URLs anhand offizieller Projektseiten, das Deaktivieren von DMs in Community-Discords sowie die Behandlung unerwarteter NFTs in einer Wallet als potenzielle Phishing-Vektoren.
Update zum HackerOne-Bug-Bounty-Programm
Unser Bug-Bounty-Programm auf HackerOne nahm weiterhin Meldungen entgegen, die die MetaMask Extension (GitHub-Repository) und MetaMask Mobile (GitHub-Repository) abdecken.
MetaMasks Krypto-Sicherheitsbericht für Juli 2022 behandelte den Launch von LavaMoats drei experimentellen Browser-Abwehrtools – Securely, Snow und Across – zur Bekämpfung von Prototype-Pollution- und Cross-Realm-JavaScript-Angriffen, einen gefälschten $UNI-Airdrop, der über 73.000 Uniswap-LP-Adressen um rund 8 Millionen US-Dollar phishte, sowie YouTube-basierte MEV-Bot-Tutorial-Betrügereien, die verschleierte Solidity-Contracts nutzten, um hinterlegtes ETH abzuschöpfen. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
