Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Juli 2023 präsentierte das MetaMask Security Team Menpo, einen STIX-2.1-Standard zur Katalogisierung von DeFi-Vorfällen, auf dem DeFi Security Summit, während Gal Weizman eine dreiteilige X-Serie darüber abschloss, wie LavaMoats Scuttling und Snow die Supply-Chain-Sicherheit stärken. Zudem erweiterte LavaMoat sein ScorchWrap-Webpack-Plugin und arbeitete an EIP-4361 weiter. Auf der Bedrohungsseite deckte der diesmonatige Bericht außerdem Pig-Butchering-Betrug (shāz hū pán) und gefälschte Mining-Scams auf, die Token-Genehmigungen missbrauchen, einen neuen Fake-Approvals-Betrug mit per Airdrop verteilten Gas-Tokens sowie eine Social-Engineering-Kampagne der Lazarus Group, die npm-Malware an Krypto- und Sicherheitsentwickler verbreitet. Die vollständige Übersicht folgt weiter unten – aber zuerst...
MINT-Pionierin im Fokus: Josephine Jue, NASA-Mathematikerin und Luft- und Raumfahrttechnologin
Josephine Jue war Mathematikerin und Luft- und Raumfahrttechnologin bei der NASA und gilt als eine ihrer „Hidden Figures" – sie gehörte zu den ersten asiatisch-amerikanischen Frauen, die als Programmiererin im Manned Spacecraft Center der NASA tätig waren, wo sie zur Software des Apollo-Programms beitrug. Die Präzision und Zuverlässigkeit, die ihre Arbeit an früher missionskritischer Software erforderte, ist derselbe Maßstab, auf den vertrauenswürdige Systeme noch heute angewiesen sind.
MetaMask präsentiert Menpo, eine STIX-2.1-DeFi-Vorfallsdatenbank, auf dem DeFi Security Summit
Auf dem DeFi Security Summit 2023 stellte Herman Junge Menpo vor – ein Projekt, das das MetaMask Security Team entwickelt, um die Katalogisierung von DeFi-Vorfällen mithilfe von STIX 2.1 zu standardisieren. Die Initiative, Junges eigene Idee, fördert die organisationsübergreifende Zusammenarbeit zwischen Sicherheitsanalysten und -forschern, um die gemeinsame Bedrohungslandschaft zu bereichern.
Gal Weizman schließt eine dreiteilige X-Serie über LavaMoats Scuttling und Snow ab
In Fortsetzung des Themas aus dem Blog des Vormonats schloss Gal Weizman seine dreiteilige X-Serie ab, in der er erklärt, wie Scuttling und Snow von LavaMoat die Supply-Chain-Sicherheit von MetaMask stärken – und dasselbe für andere Apps leisten können. Scuttling macht das Window-Objekt der App für eingeschleusten Code nahezu unbrauchbar und schließt damit einen häufig genutzten Angriffsvektor für browserbasierte Angriffe.
LavaMoat aktualisiert ScorchWrap, testet Snow mit CSP und trägt zu EIP-4361 bei
Das ScorchWrap-Webpack-Plugin verwendet nun @lavamoat/aa, um Pakete in Abhängigkeiten zu identifizieren und beim Import Richtlinien durchzusetzen. Weitere Arbeit ist bei webpack-emulierten Builtins wie Buffer und Crypto erforderlich. Das Team versuchte außerdem, Snow mit Content Security Policy-Empfehlungen zu unterstützen, stellte jedoch fest, dass CSP bei iframe srcdoc unzureichend ist. Als nächste Schritte sollen die DOM-APIs, die Text-String-Eingaben akzeptieren, eingeschränkt werden, um die Sicherheit zu verbessern. LavaMoat beteiligte sich an Diskussionen über eine explizitere Schema-Behandlung in EIP-4361 und schlug einen Origin-Verifizierungsalgorithmus vor. Schließlich wurde der exitModules-Hook in Endo gemergt. Darüber hinaus leitet Zibi einen Workshop zu Defensive Coding im AppSec Village der DefCon.
Pig-Butchering-Betrug (shāz hū pán) aus den Jahren 2022–2023 in einem Dune-Dashboard erfasst
Langzeit-Betrugsmaschen, bei denen Kriminelle ihre Opfer mit dem Versprechen von Anlagerenditen in falscher Sicherheit wiegen, nehmen zu. Diese Methoden – die häufig eine romantische Komponente beinhalten und ihren Ursprung in China haben – werden als shāz hū pán oder „Schweineschlachten" bezeichnet, weil der Täter das Opfer zunächst „mästet", bevor es zur „Schlachtung" kommt. MetaMask Securitys Taylor Monahan hat ein Dune-Dashboard zusammengestellt, das nach ihren eigenen Worten „versucht, das Ausmaß dieser Betrugsmaschen durch harte Daten, die direkt aus der Blockchain gezogen wurden, sowie durch die Geschichten der Betroffenen in ihren eigenen Worten zu erfassen" – mit dem Hinweis, dass „diese Betrüger mehr Menschen in die Kryptowelt einführen als jede legitime Krypto-Organisation. Und das alles, um ihnen das Geld zu stehlen."
Gefälschte Mining-Scams missbrauchen Token-Genehmigungen – Consensys veröffentlicht detaillierte Analyse
Ein Consensys-Blogartikel von Joel Willmore, „Fake 'Mining' Scams: A Familiar Foe in a New Disguise", erklärt, wie USDT Approval Mining und Liquidity Mining Scams funktionieren, wie man sie erkennt und wie man sich durch das Verstehen und Schützen von Token-Genehmigungen absichern kann. Der Artikel enthält außerdem ein Dune-Dashboard von Harry Denley, das die Betrugsmaschen verfolgt. Für einen kompakteren Überblick hat MetaMask zudem einen Support-Artikel über gefälschte Mining-Voucher-Scams veröffentlicht.
Revoke.cash warnt vor einem Fake-Approvals-Betrug mit per Airdrop verteilten Gas-Tokens
Revoke.cash hat auf einen neuen Fake-Approvals-Betrug hingewiesen, bei dem per Airdrop verteilte „Gas-Tokens" Nutzer dazu verleiten, zu glauben, sie hätten verdächtige Genehmigungen, die widerrufen werden müssen. Die Betrüger programmieren die gefälschten Tokens so, dass während einer Widerrufstransaktion eine große Menge an Gas-Tokens geprägt wird, die anschließend an die Angreifer zum Verkauf weitergeleitet werden. Da das Wallet-Popup lediglich eine hohe Gebühr anzeigt und keine abgehenden Gelder, ist der Diebstahl leicht zu übersehen. Als Reaktion darauf hat Revoke.cash eine Prüfung eingeführt, die das Widerrufen von Genehmigungen deaktiviert, wenn die Gasgebühr übermäßig hoch ist, und empfiehlt, unerwartete Transaktionen mit sehr hohen Gasgebühren zu ignorieren.
Lazarus Group verbreitet npm-Malware in einer Social-Engineering-Kampagne gegen Entwickler
Laut Socket startete die Lazarus Group eine ausgeklügelte Social-Engineering-Kampagne, die auf Entwickler im Kryptowährungs- und Cybersicherheitsbereich abzielt und dabei kompromittierte Konten sowie mit Malware verseuchte npm-Pakete einsetzt. Der Bericht erklärt, wie die Angriffskette funktioniert, wie man sich dagegen schützen kann, und listet die bekannten schädlichen npm-Pakete auf.
Immunefi listet die 10 häufigsten Web3-Schwachstellen auf
Immunefi hat eine Übersicht der 10 häufigsten Schwachstellen in Web3 veröffentlicht, die die Smart-Contract-Schwachstellen abdeckt, auf die Entwickler und Prüfer achten sollten, um sichere und robuste Contracts zu entwickeln.
Taylor Monahan teilt Tipps zur Wallet-Sicherheit: Hardware Wallets, Papier-Backups und dezentralisierte Speicherung
Taylor Monahan hat praktische Tipps geteilt, wie Gelder bei der Nutzung einer Web3-Wallet sicher aufbewahrt werden können: der Einsatz von Hardware Wallets, die bewährte Low-Tech-Methode, eine Secret Recovery Phrase auf Papier zu speichern, sowie die Dezentralisierung der Aufbewahrungsorte für Gelder.
Chainalysis Halbjahresupdate: Krypto-Kriminalität um 65 % gesunken, während Ransomware zunimmt
Chainalysis hat sein Halbjahres-Update zur Krypto-Kriminalität veröffentlicht und berichtet, dass kryptobezogene Kriminalität insgesamt um rund 65 % zurückgegangen ist – auch wenn gezielte Ransomware-Angriffe zugenommen haben.
MetaMasks Krypto-Sicherheitsbericht für Juli 2023 beleuchtete ausführlich Pig-Butchering- und gefälschte Mining-Scams, die Token-Genehmigungen missbrauchen, einen neuen Fake-Approvals-Betrug mit per Airdrop verteilten Gas-Tokens sowie eine Social-Engineering-Kampagne der Lazarus Group, die npm-Malware an Krypto- und Sicherheitsentwickler verbreitet. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
