Jeden Monat berichtet MetaMask-Sicherheitsdirektor Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im Juli 2024 erhielt MetaMasks HackerOne-Bug-Bounty-Programm Lob von den Gründern von HackerOne, während Zbigniew Tenerowicz und Gal Weizman vom Security Lab LavaMoat, LavaDome und DOM-Isolation auf der x33fcon, BlueHatIL und OWASP vorstellten. Darüber hinaus wurde MetaMasks Realms Initialization Control-Vorschlag in die Inkubationsphase aufgenommen. Auf der Bedrohungsseite verlor WazirX über 230 Millionen US-Dollar durch einen Multisig-Exploit, eine Squarespace-Sicherheitslücke ermöglichte Domain-Übernahmen in der gesamten Branche, ein Datenleck in der Mailingliste von Ethereum.org setzte 35.000 Nutzer einem Draining-Angriff aus, und das FBI warnte vor zunehmenden Krypto-Job-Betrugsmaschen. Die vollständige Aufschlüsselung finden Sie unten, aber zunächst...
MINT-Pionier im Fokus: César Milstein, Nobelpreisträger und Pionier monoklonaler Antikörper
César Milstein (1927–2002) war ein argentinischer Biochemiker, der 1984 den Nobelpreis für Physiologie oder Medizin für die Entwicklung der Technik zur Herstellung monoklonaler Antikörper erhielt. Antikörper sind die Präzisionswerkzeuge des Immunsystems – darauf ausgelegt, eine spezifische Bedrohung zu erkennen und zu neutralisieren – und Milsteins Arbeit machte es möglich, sie zuverlässig in großem Maßstab herzustellen. Diese Idee der gezielten, reproduzierbaren Bedrohungserkennung ist genau das, was moderne Sicherheits-Tools anstreben.
MetaMasks HackerOne-Bug-Bounty-Programm erhält Lob von den Gründern
MetaMasks Bug-Bounty-Programm wurde von beiden HackerOne-Gründern, Jobert Abma und Michiel Prins, gelobt, weil es neue Richtlinienverbesserungen schnell übernommen hat – Open Scope, das Meldungen über alle Assets von MetaMask hinweg basierend auf dem Impact belohnt, und Fast Payment, das eine Auszahlung innerhalb eines Monats nach Eingang einer Meldung zusichert. In den vorangegangenen 90 Tagen erhielt das Programm 120 Meldungen, benötigte im Durchschnitt 3 Tage und 15 Stunden von der Einreichung bis zur Bounty-Zahlung und zahlte bisher 266.000 US-Dollar aus. MetaMask dankte seiner Forschungsgemeinschaft – darunter pkkr, imnarendrabhati, p1security, Nicocha30, T41nk, René Kroka, renniepak, hackerOnTwoWheels und redyetihacks – und lädt jeden, der eine Sicherheitslücke findet, ein, diese über das HackerOne-Programm zu melden.
Zbigniew Tenerowicz spricht über defensives Coding auf der x33fcon
MetaMask Security Labs Zbigniew Tenerowicz ist wieder aktiv! Im Juni 2024 nahm ZB an der x33fcon teil, einem Treffen für IT-Sicherheitsfachleute, „wo Red auf Blue trifft", hielt einen Lightning Talk und leitete einen Workshop über defensives Coding. Dies ist der neueste Schritt in seinem Bestreben, Supply-Chain-Sicherheit zu fördern – dem Kernfokus von LavaMoat. Sowohl sein Vortrag als auch ein Interview sind jetzt verfügbar.
Gal Weizman präsentiert DOM-Isolation auf BlueHatIL und OWASP, und Realms Initialization Control tritt in die Inkubationsphase ein
Gal Weizman, ebenfalls vom MetaMask Security Lab, präsentierte auf Microsofts BlueHatIL und der Global AppSec-Konferenz von OWASP Lissabon zum Thema DOM-Isolation und das LavaDome-Projekt. Dabei untersuchte er, wie die Unterschiede zwischen der Absicherung zentralisierter und dezentralisierter Architekturen die Grenzen der Web-Anwendungssicherheit verschieben. Darüber hinaus berichtete er, dass ein von MetaMask vorgestellter Realms Initialization Control-Vorschlag von der Web Incubator Community Group zur Inkubation genehmigt wurde. Die Umsetzung dieses Vorschlags sollte letztendlich eine native Lösung auf Browser-Ebene für das „Same-Origin-Problem" bieten, das das Snow-Projekt ursprünglich lösen wollte – ein wichtiger Schritt zur Absicherung eines komplexen clientseitigen Web-Sicherheitsproblems.
Die Bedrohung der DPRK-Gruppe Lazarus für Krypto und ihre TraderTraitor-Kampagne verstehen
Taylor Monahan von MetaMask Security untersuchte eine neue Kampagne namens TraderTraitor, die von Mitgliedern der mit Nordkorea verbundenen Advanced Persistent Threat (APT)-Gruppe Lazarus durchgeführt wird. TraderTraitor nutzt Spearphishing, um Mitarbeiter von Krypto-Unternehmen anzugreifen und Millionen zu stehlen. Jeder, der in der Krypto-Branche arbeitet, auf welcher Ebene auch immer, sollte sich als gefährdet betrachten, warnt Monahan. Ihr Rat: Einzelne Schwachstellen eliminieren, Hardware-Wallets und Hardware-MFA verwenden, keinen Code von Fremden ausführen oder erstellen, verschiedene Geräte für Kommunikation und Krypto-Zugang nutzen, aus den Fehlern anderer lernen, das eigene Umfeld aufklären und skeptisch bleiben.
Betrüger werden betrogen: Pink Drainer wird Opfer von Address Poisoning in Höhe von 30.000 US-Dollar
In einer ironischen Wendung wurde die berüchtigte Pink-Drainer-Betrugsgruppe selbst Opfer eines Address-Poisoning-Betrugs und verlor rund 30.000 US-Dollar in Ether, nachdem sie dazu verleitet wurde, Gelder an eine gefälschte Adresse zu senden, die einer legitimen sehr ähnlich sah. Das Kryptowährungs-Compliance-Unternehmen MistTrack berichtete über den Vorfall und wies auf die Ironie hin, dass Betrüger selbst betrogen wurden. Pink Drainer hatte erst im Mai 2024 seinen Rückzug angekündigt, nachdem Millionen aus Krypto-Wallets gestohlen worden waren.
Datenleck in der Drittanbieter-Mailingliste von Ethereum.org setzt 35.000 Nutzer einem Draining-Angriff aus
Am 2. Juli 2024 meldete Ethereum, dass seine Mailingliste kompromittiert wurde, wodurch über 35.000 Nutzer einem Phishing-Versuch ausgesetzt wurden. Der Angreifer versandte eine E-Mail, die als Zusammenarbeit mit Lido DAO getarnt war, und leitete die Empfänger auf eine Website weiter, die hohe Renditen auf gestaktes Ethereum versprach, tatsächlich aber ein Drainer war. Das Ethereum-Sicherheitsteam blockierte den Angriff schnell, warnte die Community und meldete den schädlichen Link an Blocklisten; es wurden keine Verluste gemeldet, und Ethereum begann mit der Migration der E-Mail-Dienste zur Verbesserung der Sicherheit.
Squarespace-Sicherheitslücke ermöglicht Domain-Übernahme-Angriffe
Was ist passiert
Forscher stellten fest, dass schwache Sicherheitsstandards im Domain-Registrierungsprozess von Squarespace es Angreifern ermöglichten, Domains zu übernehmen. Unzureichende Verifizierung und die Möglichkeit, Domain-Einstellungen ohne ordnungsgemäße Authentifizierung zu ändern, ermöglichten es ihnen, die Kontrolle zu übernehmen, den Datenverkehr umzuleiten und potenziell sensible Informationen zu stehlen. In seiner Incident Post-Mortem nannte Squarespace OAuth-bezogene Schwachstellen als Ursache, erklärte, das Problem behoben zu haben, und meldete keine weiteren Kompromittierungen. Nach einer koordinierten, branchenweiten Reaktion veröffentlichten samczsun – zusammen mit MetaMask Securitys Taylor Monahan, AndrewMohawk und anderen – eine Retrospektive.
Wie Nutzer sich schützen können
Nutzer sollten ihre Squarespace-Konten absichern, indem sie die Zwei-Faktor-Authentifizierung (2FA) aktivieren und unnötige Mitwirkende entfernen, und sollten Registrare in Betracht ziehen, die Hardware-Token für 2FA unterstützen.
WazirX verliert über 230 Millionen US-Dollar durch einen Multisig-Exploit
Die in Indien ansässige Krypto-Börse und Handelsplattform WazirX erlitt einen Cyberangriff auf eine ihrer Multi-Signature (Multisig)-Wallets und verlor dabei über 230 Millionen US-Dollar. Die Wallet, die über den digitalen Asset-Verwahrungsservice von Liminal verwaltet wurde, erforderte mehrere Unterzeichner – drei von WazirX und einen von Liminal –, aber der Angriff nutzte eine Diskrepanz zwischen dem aus, was Liminals Interface anzeigte und dem tatsächlichen Inhalt der Transaktion, indem wahrscheinlich die Payload ausgetauscht wurde, um die Kontrolle auf den Angreifer zu übertragen. Der Vorfall ist eine Erinnerung daran, dass Custodial-Lösungen die Auszahlung von Geldern kontrollieren, während bei Self-Custodial-Wallets nur der Nutzer die Kontrolle über seine Gelder hat. WazirX bietet eine Bounty von bis zu 23 Millionen US-Dollar an, um bei der Identifizierung, Verfolgung und Rückgewinnung der gestohlenen Gelder zu helfen.
FBI warnt vor zunehmenden Krypto-Job-Betrugsmaschen
Im Juni 2024 veröffentlichte das Federal Bureau of Investigation (FBI) eine öffentliche Warnung über Krypto-Job-Betrugsmaschen, bei denen Betrüger sich als legitime Arbeitgeber ausgeben, um Opfer mit gefälschten Jobangeboten anzulocken. In diesem Monat folgte die Behörde mit einem detaillierteren Einblick in die Funktionsweise dieser Job-Betrugsmaschen und worauf man achten sollte. Diese beinhalten häufig die Überzeugung von Opfern, Kryptowährungs-Konten einzurichten oder Gelder zu überweisen, wobei letztendlich ihr Geld gestohlen wird. Das FBI rät Arbeitssuchenden, bei unaufgeforderten Jobangeboten vorsichtig zu sein, die Seriosität von Arbeitgebern zu überprüfen und keine persönlichen oder finanziellen Informationen an nicht verifizierte Quellen weiterzugeben. Opfer solcher Betrugsmaschen werden ermutigt, die Vorfälle beim Internet Crime Complaint Center (IC3) des FBI zu melden. Über Betrugsmaschen, die auf Arbeitssuchende abzielen, hinaus sollten Unternehmen auch auf Angriffe während des Bewerbungsprozesses und Insider-Bedrohungen achten – ein Risiko, das durch Berichte über nordkoreanische Operatoren unterstrichen wird, die versuchen, sich als Remote-IT-Mitarbeiter auszugeben, sowie durch gefälschte Vorstellungsgespräch-Malware, die auf Macs abzielt.
MetaMasks Krypto-Sicherheitsbericht für Juli 2024 behandelte die Anerkennung für das HackerOne-Bug-Bounty-Programm, den WazirX-Multisig-Exploit mit einem Verlust von über 230 Millionen US-Dollar sowie eine Reihe von Bedrohungen, darunter eine Squarespace-Domain-Übernahme-Sicherheitslücke, ein Datenleck in der Mailingliste von Ethereum.org und zunehmende Krypto-Job-Betrugsmaschen. Stöbern Sie in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
