Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.
Im Juni 2024 übernahm Consensys Wallet Guard, um die Betrugs- und Drainer-Erkennung von MetaMask zu stärken. MetaMask aktualisierte außerdem seine Datenschutzrichtlinie für mehr Transparenz und Kontrolle, und LavaMoat launchte eine neue Website. Die Security Alliance eröffnete zudem einen Rechtshilfefonds für Whitehat-Forscher. Auf der Bedrohungsseite zielten Beschäftigungsbetrug im Zusammenhang mit nordkoreanischen APT-Gruppen weiterhin auf Krypto-Mitarbeiter ab, ein Nutzer verlor 11 Millionen US-Dollar durch Signatur-Phishing, ein Datenleck beim E-Mail-Anbieter von CoinGecko führte zum Versand von Zehntausenden Phishing-E-Mails, und eine bösartige Aggr-Chrome-Erweiterung stahl über 1 Million US-Dollar durch das Abgreifen von Exchange-Cookies. Die vollständige Übersicht findest du unten – aber zuerst...
MINT-Pionierin im Fokus: Ben Barres, Neurobiologin, die die Rolle der Gliazellen enthüllte
Ben Barres (1954–2017) war ein amerikanischer Neurobiologin, dessen Forschung maßgeblich dazu beitrug, aufzudecken, wie Gliazellen mit Neuronen im Nervensystem interagieren – und zeigte, dass die lange übersehenen „Stützzellen" des Gehirns tatsächlich unverzichtbar für dessen Funktionsweise und Selbstschutz sind. Er war außerdem der erste offen transgender Wissenschaftler, der in die US National Academy of Sciences gewählt wurde, und ein engagierter Fürsprecher für Chancengleichheit in der Wissenschaft. Seine Arbeit erinnert uns daran, dass die Systeme, die im Hintergrund still und leise Schutzarbeit leisten, oft am wichtigsten sind.
MetaMask aktualisiert Datenschutzrichtlinie für mehr Transparenz und Nutzerkontrolle über ihre Daten
Datenschutz und Sicherheit gehen Hand in Hand, und MetaMask nimmt die Privatsphäre seiner Nutzer sehr ernst. In diesem Monat veröffentlichte MetaMask im Sinne der informierten Einwilligung eine aktualisierte Richtlinie, um Nutzer darüber zu informieren, was wir tun, um sie zu schützen, und um ihnen mehr Transparenz und Kontrolle über ihre persönlichen Daten zu geben. Du kannst unsere Ankündigung und den vollständigen Hinweis lesen sowie unsere Datenschutz- und Sicherheitsressourcen einsehen.
MetaMask verarbeitet deine IP-Adresse vorübergehend nur dort, wo dies für einige unserer Dienste erforderlich ist (abhängig von deinen MetaMask-Einstellungen), um MetaMask-Nutzern die bestmögliche Erfahrung zu bieten. Dazu gehört beispielsweise die Abwehr von DDoS-Angriffen.
Wir erfassen deine privaten Schlüssel nicht.
Wir verkaufen deine persönlichen Daten nicht.
Wir erheben oder speichern keine personenbezogenen Daten, es sei denn, dies ist notwendig, um dir die Dienste und eine optimale Nutzererfahrung zu bieten.
Wir erfassen keine Finanz-, Zahlungs- oder Bankdaten. Wenn du jedoch unsere On- oder Offramp-Funktionen nutzt, kann es erforderlich sein, dass du diese Informationen an Drittanbieter übermittelst.
Consensys übernimmt Wallet Guard zur Verbesserung der MetaMask-Sicherheit
Wir freuen uns außerordentlich, dass das großartige Wallet Guard-Team offiziell zu MetaMask gestoßen ist und unsere Mission vorantreibt, Nutzern die bestmögliche sichere Erfahrung zu bieten. Wie in der Ankündigung formuliert, wird die Integration „die Sicherheit von MetaMask verbessern, indem sie die Betrugs- und Drainer-Erkennung durch Transaktionsvalidierung und clientseitige Heuristiken optimiert und Nutzern dadurch überlegenen Echtzeitschutz vor bösartigen dezentralen Apps und Betrug bietet – bei gleichzeitiger Wahrung von Privatsphäre und Selbstbestimmung."
LavaMoat launcht eine neue Website
Alles rund um LavaMoat ist jetzt unter lavamoat.github.io zu finden, einschließlich eines Einführungsvideos darüber, wie das Open-Source-Toolset JavaScript-Projekte gegen Supply-Chain-Angriffe absichert. MetaMasks Zbigniew Tenerowicz brachte außerdem den Defensive-Coding-Workshop, den er im vergangenen Sommer auf der DEFCON durchgeführt hatte, zu den Konferenzen Confidence und X33FCON, um LavaMoat bekannter zu machen.
State of Security: MetaMask und Wallet Guard
Die neueste Ausgabe der State of Security-Reihe von MetaMask und Wallet Guard zeigte Ryan Jones und Gal Weizman gemeinsam mit Ohm und Michael, die über Transaktionssimulationen, Interoperabilität, MetaMask Web und den Einsatz von LavaMoat zum Schutz vor Supply-Chain-Angriffen diskutierten – zusammen mit den üblichen Tipps, wie man im Krypto-Bereich sicher bleibt.
Beschäftigungsbetrug nimmt zu – nordkoreanische Gruppen nehmen Krypto-Mitarbeiter ins Visier
Das US-FBI veröffentlichte eine PSA und forderte Arbeitssuchende im Homeoffice zur Vorsicht auf. Krypto- und Blockchain-Jobs wurden nicht explizit genannt, aber die Threat Intelligence- und User Safety-Teams von MetaMask berichten, dass die Community besonders ins Visier genommen wird. Behandle unaufgeforderte Jobangebote mit besonderer Skepsis, klicke niemals auf Links oder öffne Anhänge aus nicht vertrauenswürdigen Nachrichten, und gehe niemals auf Angebote ein, bei denen „du aufgefordert wirst, Kryptowährungszahlungen an deinen Arbeitgeber als Teil eines Jobs zu leisten." Ein erheblicher Teil dieser Betrügereien ist mit Advanced Persistent Threat (APT)-Gruppen verbunden, die häufig staatlich gesponsert sind – wie ein Personalverantwortlicher, zak, es unverblümt formulierte: „buchstäblich jeder Entwickler, den wir in letzter Zeit interviewt haben, war wahrscheinlich ein Nordkoreaner." Krypto-bezogene Unternehmen sollten bei der Befragung von Bewerbern ebenfalls äußerst wachsam sein, da dies ebenfalls zu einem beliebten Angriffsvektor geworden ist. Achte darauf, gründliche Interviews durchzuführen, die verifizierte und konsistente Hintergrundinformationen beinhalten, und verlange, dass Bewerber die Kamera einschalten.
SEAL launcht einen Rechtshilfefonds für Whitehat-Forscher
Ethische Whitehat-Hacker sind ein Eckpfeiler unserer Branche. Diese Forscher decken Schwachstellen auf und melden sie verantwortungsvoll, bevor böswillige Akteure sie ausnutzen können. Wie die Security Alliance (SEAL) jedoch kürzlich erläuterte, zeigt die Geschichte des Web2, dass „diese wichtige Arbeit manchmal zu erheblichen rechtlichen Risiken und damit verbundenen Kosten führen kann, insbesondere wenn ihre Forschung und Offenlegungen unerwünscht sind oder missverstanden werden." Daher hat SEAL eine Initiative mit dem Security Research Legal Defense Fund ins Leben gerufen, um berechtigten Forschern, die die Whitehat Safe Harbor Agreement nutzen, rechtliche Ressourcen bereitzustellen.
Ein Nutzer verliert 11 Millionen US-Dollar durch Signatur-Phishing
Was passiert ist
Am 22. Juni 2024 unterzeichnete ein Nutzer mehrere Permit-Phishing-Signaturen, was zu einem Verlust von Tokens im Wert von 11 Millionen US-Dollar führte. Es wurde außerdem bekannt, dass das Opfer ein MakerDAO-Governance-Delegierter war. SEAL-Forscher Pcaversaccio ist der Meinung, dass Signatur-Phishing das größte Problem in unserer Branche ist, und stellt fest, dass Nutzer die Warnungen ignorieren und die Konsequenzen des Unterzeichnens nicht bedenken. MetaMasks Taylor Monahan enthüllte eine Gesamtschätzung von über 600 Millionen US-Dollar an Schäden durch Approval-Phishing-Betrug seit 2021.
Wie Nutzer sich schützen können
Nutzer können sich schützen, indem sie drei wichtige Schritte befolgen.
Begrenze die Assets in der Wallet, die du täglich zum Browsen verwendest. Wenn du eine bösartige Signatur unterzeichnest, wird der Schaden minimiert.
Überprüfe die Domain, von der die Signaturanfrage stammt, und verifiziere, dass sie mit der Domain des ursprünglichen Projekts übereinstimmt. Eine schnelle Möglichkeit dazu ist, die offizielle Social-Media-Seite oder den Blog des Projekts aufzurufen und sicherzustellen, dass die Domains dieser Profile mit der Anfrage übereinstimmen.
Überprüfe den Token und die Adressinhalte der Anfrage. Die Anfrage beinhaltet oft einen Token, den du nicht senden wolltest. Die Spender-Adresse und/oder die Adresse der Transaktion weicht von der beabsichtigten Adresse ab.
Diese einfachen Überprüfungen können helfen, unbeabsichtigte Geldverluste zu verhindern.
23.000 Phishing-E-Mails nach einem Datenleck beim E-Mail-Anbieter von CoinGecko
Was passiert ist
CoinGecko, ein Kryptowährungs-Datenaggregator, erlitt am 5. Juni 2024 ein Datenleck über ein kompromittiertes Konto bei seiner E-Mail-Marketing-Plattform eines Drittanbieters, GetResponse. Der Angreifer griff auf fast 2 Millionen Kontakte zu und versandte 23.723 Phishing-E-Mails von einem anderen Kundenkonto, wodurch Namen, E-Mail-Adressen, IP-Adressen und Standorte von Nutzern offengelegt wurden – obwohl CoinGecko-Nutzerkonten und Passwörter sicher blieben.
Wie Nutzer sich schützen können
Nutzer sollten jede E-Mail über das Einfordern von Airdrops oder Tokens mit äußerster Vorsicht behandeln und es vermeiden, auf Links zu klicken oder Anhänge aus unaufgeforderten E-Mails herunterzuladen. Krypto-Projekte tragen die Verantwortung, die Sicherheitskontrollen der Drittanbieter, mit denen sie zusammenarbeiten, sorgfältig zu überwachen.
Bösartige Chrome-Erweiterung stiehlt über 1 Million US-Dollar
Was passiert ist
Aggr, ursprünglich als Trading-Datenaggregator vermarktet, ist eine Chrome-Erweiterung, die sich als bösartig herausstellte. Anfang Juni 2024 meldete ein Binance-Nutzer einen Verlust von 1 Million US-Dollar, den SlowMist auf das Aggr-Plugin zurückführte. SlowMist stellte fest, dass Aggr die Cookies von Händlern abgriff – insbesondere solche, die mit Kryptowährungsbörsen verbunden sind – die die Angreifer nutzten, um auf zentralisierte Exchange (CEX)-Portale zuzugreifen und die Kontrolle über die Konten der Opfer zu übernehmen.
Wie Nutzer sich schützen können
Die Lektion: Sei wachsam bei jeder Software, die du installierst, einschließlich Browser-Erweiterungen, und recherchiere die Entwickler – bevorzuge verifizierte, seriöse Anbieter gegenüber anonymen Accounts ohne nachweisbare Erfolgsbilanz, und überprüfe die Geschichte der App, bevor du ihr vertraust.
MetaMasks Krypto-Sicherheitsbericht für Juni 2024 behandelte die Übernahme von Wallet Guard durch Consensys, MetaMasks aktualisierte Datenschutzrichtlinie sowie eine Reihe von Bedrohungen, darunter einen Signatur-Phishing-Verlust von 11 Millionen US-Dollar, ein Datenleck beim E-Mail-Anbieter von CoinGecko und eine bösartige Aggr-Chrome-Erweiterung, die über 1 Million US-Dollar stahl. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, wie du im gesamten Ökosystem sicher bleibst.
