Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im März 2023 überarbeiteten die Endo- und LavaMoat-Teams ihren Ansatz für sicheres Bundling – sie stoppten ein Webpack-Transform-Experiment zugunsten eines Webpack-Loaders – und erweiterten gleichzeitig das globale Scuttling auf Child Realms und belebten die React-Native-Unterstützung für MetaMasks mobile App neu. MetaMask teilte außerdem zwei Vorträge aus der EthDenver-Saison: Mitgründer Dan Finlay über Delegatable und Sicherheitsforscher Gal Weizman über JavaScript Realms und Snow. Die deutlichste Lektion des Monats war jedoch, bei Airdrops vorsichtig zu bleiben: Rund um den Arbitrum-Claim häuften sich Betrugsversuche, bei denen etwa 2.400 Wallets im Voraus kompromittiert wurden. Betrüger nutzten einen gefälschten MetaMask-Airdrop-Snapshot, um Nutzer auf Phishing-Seiten zu locken, und Nachahmerbetrug richtete sich gegen Polkadot, Shiba Inu und einen gefälschten OpenAI-Token. Die vollständige Übersicht finden Sie unten, aber zunächst...
MINT-Pionierin im Fokus: Faith Lillibridge, Operatorin von Columbias NORC-Supercomputer
Faith Lillibridge ist 1954 an der Konsole des NORC (Naval Ordnance Research Calculator) im fünften Stock von Columbia Universitys Watson Scientific Computing Laboratory abgebildet. Der von IBM für die US-Marine gebaute NORC war bei seiner Einweihung 1954 der leistungsstärkste Computer der Welt. Die Operatoren, die frühe Maschinen wie diesen bedienten, verwandelten raumfüllende Hardware in zuverlässige, reproduzierbare Berechnungen – dieselbe disziplinierte, präzise Arbeit, die noch heute vertrauenswürdige Systeme untermauert.
Endo stoppt seinen Webpack-Transform-Ansatz und fügt exitModuleImportHook für lavamoat-node hinzu
Endos Versuche, sich in Webpack-Transforms einzuklinken, ohne die ursprünglichen Import-/Export-Anweisungen zu beeinträchtigen, erwiesen sich als erfolglos – es sei denn, Webpack wurde dekonstruiert und als Framework für den Aufbau eines Bundlers verwendet. Endo entschied sich, diesen Ansatz zu stoppen und eine einfachere Lösung zu verfolgen, indem stattdessen eine neue Methode im LavaMoat-Open-Source-Toolkit erprobt wurde. Separat fügte das neueste Endo-Compartment-Mapper-Update exitModuleImportHook hinzu, das das dynamische Importieren von Exit-Modulen ermöglicht, anstatt eine vorgefertigte Liste zu erfordern – das letzte wesentliche Feature, das benötigt wird, damit der Compartment-Mapper als Backend für lavamoat-node dienen kann. Die Endo-SES-Whitelist erhielt außerdem ein kleineres Update für React Native Android JSC in endojs/endo #1511, das ein lang bestehendes Issue #660 schließt (zuletzt verfolgt in LavaMoat/docs #16) und in den React Native JSC Build Scripts Issue #181 weiter untersucht wird.
LavaMoat testet einen Webpack-Loader und erweitert globales Scuttling auf Child Realms
LavaMoat begann, einen alternativen Ansatz für sicheres Bundling mithilfe eines Webpack-Loaders zur Implementierung von Compartmentalization zu erkunden und die Runtime später hinzuzufügen. Da die Ebenen oberhalb der Loader unverändert bleiben, funktionieren die meisten Features wie Tree-Shaking weiterhin; das Hauptrisiko besteht darin, dass benutzerdefinierte Plugins den Code auf unvorhergesehene Weise verändern können. Das Scuttling-Sicherheitsfeature kann nun auf alle potenziellen Same-Origin-Child-Realms (wie iframes) angewendet werden, indem die experimentelle Option „scuttleGlobalThis" zusammen mit Snow konfiguriert wird (Fortschritt hier). Ein kleineres Update der LavaMoat-Browserify-Beispiele wurde in LavaMoat/LavaMoat #476 veröffentlicht.
LavaMoat belebt React-Native-Unterstützung für MetaMasks mobile App neu
Die React-Native-Unterstützung wurde wiederbelebt, beginnend erneut mit der Endo-SES-Lockdown-Integration – ursprünglich auf RN v0.66.5 ausgerichtet und nun auf RN v0.71.4 – mit laufender Integration in die MetaMask-Mobile-App. Der Fortschritt wird im LavaMoat React Native Epic verfolgt.
Dan Finlay präsentiert „Better Dapps with Delegatable" auf der EthDenver
Dan Finlay gab 2023 sein EthDenver-Debüt mit einem Vortrag über Delegatable und teilte eine Vision, wie Delegation den Aufbau dezentraler Anwendungen sicherer und einfacher machen kann. Wie er es formulierte: „Es gibt viele Menschen, die Airdrops beanspruchen und dann ihr gesamtes Geld verlieren … Delegatable ermöglicht es Ihnen, alles, was Sie mit einem Vertrag gegenüber einem anderen Konto tun können, auch zu tun. Es verfügt über ein offenes Caveat-System, mit dem Sie die Berechtigung, die Sie teilen, auf jede gewünschte Weise einschränken können. Und das kann Ihnen helfen, Hot Wallets kühler zu halten, indem Sie einschränken, was sie tun können, während Sie ihnen dennoch erlauben, On-Chain-Aktivitäten durchzuführen."
Gal Weizman präsentiert „JS Realms, Security Blank Spot"
Gal Weizman hielt einen Vortrag über die wachsenden Gefahren von Supply-Chain-Angriffen im Zusammenhang mit Abhängigkeiten und darüber, wie Snow JS helfen kann, die Lücken zu schließen. Zu den Themen gehörten die Evolution des Webs, die Bedeutung von Sicherheit und Transparenz, Drittanbieterlösungen, JavaScript Realms und Snow JS.
Airdrop-Betrug nimmt zu, da Hacker sich als andere ausgeben – gefälschter MetaMask-Snapshot zum Phishing von Nutzern verwendet
Verdächtige Aktivitäten rund um Airdrops nahmen im März 2023 deutlich zu. Im Vormonat hatte MetaMask einen Überblick über die Gefahren von Rugpulls und Airdrop-Betrug veröffentlicht und Nutzer daran erinnert, dass Angebote für „kostenloses Geld" ein häufiger Köder für Betrüger sind. Genau das spielte sich ab, als Betrüger in sozialen Medien eine gefälschte Behauptung verbreiteten, MetaMask würde am 31. März einen Snapshot erstellen oder einen Airdrop durchführen – ein Köder, der darauf ausgelegt war, Nutzer auf Phishing-Seiten zu leiten, die Gelder von allen stehlen, die versuchen, die nicht existierenden Token zu beanspruchen. MetaMask deckte den Betrug auf und warnte die Community am 29. März 2023, dass die gefälschte Behauptung „nicht nur falsch, sondern … gefährlich" sei, da sie Betrügern und Phishern, die auf das Vermögen der Nutzer abzielen, Angriffsflächen bietet. Nachahmerbetrug, der Polkadot, Shiba Inu und einen gefälschten OpenAI-DeFi-(GPT-4)-Token imitierte, verwendete im gesamten Monat dasselbe Muster.
Rund 2.400 Wallets im Vorfeld des Arbitrum-Airdrops ins Visier genommen
Tage vor dem Arbitrum-Airdrop berichtete Arkham am 20. März 2023, dass ein Hacker in den vorangegangenen 12 Stunden Gelder an rund 2.400 mutmaßlich kompromittierte Wallets gesendet hatte, die dann in Erwartung des Claims den ARB-Token von der Adresse 0x59d4...fb19 genehmigten. Im Nachgang berichtete CoinDesk darüber, wie viel dabei schiefgehen kann, in seinem Artikel „Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be."
Cloudflare-Global-API-Key-Exposition für Web3-Teams gewarnt
MetaMask-Sicherheitsforscherin Taylor Monahan (@tayvano_) forderte Teams, die Cloudflare für ein Web3-Produkt nutzen, auf, am 24. März 2023 sofort zu handeln: den Global API Key für alle Konten zu rotieren und alle zu Cloudflare hinzugefügten Konten zu entfernen, sofern deren Global API Key noch nicht rotiert worden war. Der veraltete Global API Key bietet vollständigen Kontozugriff, was seine Exposition besonders gefährlich macht.
Metaverse-„Konferenz"-Einladung als Social-Engineering-Köder verwendet
The Trading Uncle (@thetradingunc) dokumentierte einen Social-Engineering-Versuch am 14. März 2023, bei dem ein Konto eine Direktnachricht sendete, in der der Inhalt des Ziels gelobt und es eingeladen wurde, auf einer „Konferenz" im Metaverse neben anderen Podiumsteilnehmern zu sprechen – ein Ansatz, der darauf ausgelegt ist, die Wachsamkeit des Ziels zu senken, bevor ein Betrug stattfindet.
MetaMasks Krypto-Sicherheitsbericht für März 2023 behandelte einen Anstieg von Airdrop-Betrug – darunter ein gefälschter MetaMask-Snapshot zum Phishing von Nutzern –, rund 2.400 kompromittierte Wallets im Vorfeld des Arbitrum-Airdrops sowie eine Cloudflare-Global-API-Key-Warnung für Web3-Teams. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
