Krypto-Sicherheitsbericht: März 2024

Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.

Im März 2024 gab es rund um ETHDenver eine Vielzahl von Aktivitäten, bei denen MetaMask einen Security Spotlight veranstaltete und gemeinsam mit Wallet Guard ein State of Security-Event co-hostete – ergänzt durch neue Ergänzungen zur Snaps-Beta: ein DeFi Armor-Transaktionssimulations-Snap und Happy Harpies Signature-Insight-Snap. Auf der Bedrohungsseite führte ein Angriff auf den Inferno-Drainer-Service zu gestohlenen Geldern in Höhe von 2,5 Millionen US-Dollar, FTX- und BlockFi-Nutzer verloren über 7 Millionen US-Dollar durch eine E-Mail-Phishing-Kampagne mit Pink Drainer, und ein Exploit der MakerDAO-basierten Contracts von Curio kostete über 16 Millionen US-Dollar. Die vollständige Aufschlüsselung finden Sie unten, aber zuerst...

MINT-Pionierin im Fokus: Kono Yasui, Zytologin und Japans erste promovierte Wissenschaftlerin

Kono Yasui (1880–1971) war eine japanische Zytologin und Botanikerin, die 1927 als erste japanische Frau einen Doktortitel in Naturwissenschaften erwarb. Ihre Forschung umfasste Pflanzenzytologie und Genetik, einschließlich detaillierter Studien zur Struktur kohlebildender Pflanzen, und sie setzte sich dafür ein, Frauen den Zugang zur naturwissenschaftlichen Bildung zu öffnen. Yasuies akribische, mikroskopische Aufmerksamkeit für Strukturen – das Erkennen von Details, die andere übersehen – spiegelt dieselbe genaue Betrachtungsweise wider, die sorgfältige Sicherheitsarbeit erfordert.

Snaps-Neuigkeiten: Account Management Snaps, ein DeFi Armor-Simulations-Snap und Harpies Signature Insights

Das Angebot der Security Snaps wächst. MetaMask hat einen neuen Transaktionssimulations-Snap von DeFi Armor hinzugefügt, der eine Transaktion markiert und erklärt, warum sie DeFi Armors kuratierter, anpassbarer Sicherheitsrichtlinie nicht entspricht. Neu ist außerdem ein Signature-Insight-Snap aus Happy Harpies ETHDenver-Hackathon-Projekt, der Signaturen dekodiert, alle Adressen in einem Signatur-Payload gegen Harpie prüft, um bösartige zu erkennen, und Seaport-NFT-Listing-Signaturen liest, um Sie zu warnen, wenn ein Listing deutlich unter dem Floor-Preis angeboten wird. Unterdessen ist die offene Beta der Account Management Snaps weiterhin zum Ausprobieren verfügbar und umfasst Snaps von Capsule, Safeheron und Silent Shard.

MetaMask veranstaltet einen Security Spotlight auf der ETHDenver

MetaMask veranstaltete auf der ETHDenver 2024 ein Security-Spotlight-Event, an dem Freunde von Alterya, Blockaid, Chain Patrol, Forta, Hexagate, Hypernative, Karma3 Labs, Paradigm und Wallet Guard teilnahmen. Videoaufzeichnungen sind jetzt für alle verfügbar!

MetaMask und Wallet Guard veranstalten das State of Security X-Event im März 2023

Das neueste State of Security X-Event von MetaMask und Wallet Guard wurde gemeinsam von Ian Wallis, Ohm Shah und Michael K. moderiert. Zu den Themen gehörten Zukunftssicherheit, aktuelle und zukünftige KI-Bedrohungen, die neuesten Social-Engineering- und Phishing-Techniken, Airdrop- und Farming-Risiken sowie eine Sonderberichterstattung über die Sicherheitsdiskussionen auf der ETHDenver.

Blockfences Blockchain Security Series mit MetaMask Securitys Taylor Monahan

In Episode 3 von Blockfences Blockchain Security Series sprach MetaMasks Taylor Monahan mit Pablo Sabbatella, dem Leiter der Sicherheitsforschung bei Blockfence, darüber, warum Entwickler ihre Nutzer schützen müssen, über ihre gemeinsame Wertschätzung für White-Hat-Hacker und über eine Angriffsserie auf ältere Wallets, die im vorangegangenen April stattgefunden hatte. Ihre wichtigsten Erkenntnisse waren zweierlei: Erstens sollte man seine Secret Recovery Phrase niemals in einem Passwort-Manager speichern. Zweitens sollte man Sicherheit als fortlaufende Gewohnheit betrachten und nicht als einmalige Einrichtung – indem man jeden Tag eine kleine Maßnahme ergreift, um sie zu verbessern, sodass sich diese kleinen Schritte im Laufe der Zeit summieren. Das könnte bedeuten, nicht mehr genutzte Token-Genehmigungen zu widerrufen, einen Teil der Gelder in eine Hardware-Wallet zu verschieben oder die App-basierte Zwei-Faktor-Authentifizierung für ein Konto zu aktivieren.

Inferno Drainer wird für 2,5 Millionen US-Dollar kompromittiert

Am 18. März 2024 wurde Inferno Drainer, ein „Drainer-as-a-Service"-Kit, das Betrüger mieten, um Phishing-Opfer auszunehmen und ihre Wallets zu leeren, für 2,5 Millionen US-Dollar gehackt. Der Sicherheitsforscher ZachXBT teilte eine durchgesickerte Nachricht aus einem Inferno-Drainer-Kunden-Gruppenchat, die enthüllte, dass der Angreifer die Auszahlungsadresse jedes Kunden durch seine eigene ersetzt hatte. Da die Kunden von Inferno Drainer selbst Betrüger sind, bedeutete dies, dass die eigenen Nutzer des Drainers betrogen wurden: Jede Wallet, die sie an diesem Tag erfolgreich ausgephisht hatten, schickte die gestohlenen Gelder an den Angreifer statt an sie.

Obwohl der Angriff außerhalb der Blockchain-Netzwerke stattfand – innerhalb von Inferno Drainers eigenem Betrieb und nicht on-chain –, wurden die 2,5 Millionen US-Dollar ursprünglich von Phishing-Opfern gestohlen, und Betrugsopfer werden nach einem ersten Verlust häufig erneut ins Visier genommen. Dies ist eine Erinnerung daran, bei Links in sozialen Medien vorsichtig zu sein, da selbst vertrauenswürdige Konten gehackt werden können; erhebliche Gelder in einer Hardware-Wallet aufzubewahren; in alltäglichen Wallets nur minimale Vermögenswerte zu halten; und verschiedene Konten für unterschiedliche Risikoniveaus zu verwenden.

FTX- und BlockFi-Nutzer verlieren über 7 Millionen US-Dollar durch eine E-Mail-Phishing-Kampagne

FTX- und BlockFi-Nutzer verloren in der Woche des 18. März 2024 mehr als 7 Millionen US-Dollar auf dem Ethereum Mainnet durch eine Phishing-Kampagne. Der Angriff bestand aus zwei Teilen. Außerhalb der Blockchain basierte das Phishing selbst auf E-Mails, die an eine Liste von Empfängeradressen gesendet wurden, die Berichten zufolge beim MailerLite-Kompromiss gestohlen wurden – einem Einbruch in die E-Mail-Marketing-Plattform, die mehrere Krypto-Unternehmen nutzten, und der den Angreifern fertige Nutzerlisten zum Anvisieren lieferte. Auf der Blockchain erfolgte der eigentliche Diebstahl, sobald ein Opfer eine bösartige Signatur unterzeichnete oder mit einem bösartigen Contract interagierte – in diesem Moment nutzte der Bedrohungsakteur den Drainer-as-a-Service (DaaS) Pink Drainer, um die Gelder aus der Wallet zu transferieren. Nutzer sollten bei jeder E-Mail vorsichtig sein, die sie auffordert, eine Wallet zu verbinden oder eine Transaktion zu unterzeichnen, und die Legitimität stets über offizielle Kanäle überprüfen.

Curios MakerDAO-basierter Contract wird für 16 Millionen US-Dollar ausgenutzt

Am Wochenende des 23. März 2024 meldete das Curio Ecosystem, dass seine MakerDAO-basierten Smart Contracts auf Ethereum ausgenutzt worden waren, was zu einem Gesamtverlust von über 16 Millionen US-Dollar führte; Contracts auf Polkadot und der Curio Chain selbst blieben sicher. Curio veröffentlichte später eine Roadmap zur Wiederherstellungsstrategie, in der angekündigt wurde, dass 100 % der Gelder an die Nutzer zurückerstattet werden. Alle Inhaber von Curios Governance-Token waren betroffen, und da der Angriff eine Schwachstelle in Curios eigenen Contracts ausnutzte, hätten einzelne Nutzer wenig dagegen tun können. Für Protokollentwickler lautet die Lektion, Smart Contracts bei jeder neuen Version gründlich und kontinuierlich zu prüfen und ein Bug-Bounty-Programm zu betreiben, damit Forscher Schwachstellen aufdecken können, bevor Angreifer es tun.

MetaMasks Krypto-Sicherheitsbericht für März 2024 behandelte MetaMasks ETHDenver-Sicherheitsevents und neue Snaps-Ergänzungen, die Kompromittierung des Inferno-Drainer-Services für 2,5 Millionen US-Dollar sowie eine Pink-Drainer-E-Mail-Phishing-Kampagne, die FTX- und BlockFi-Nutzer über 7 Millionen US-Dollar kostete. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.