Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Die größte Geschichte dieses Monats: Unsere Forscher Taylor Monahan und Harry Denley setzten ihre Untersuchung eines Multichain-Hacks von rund 10 Millionen US-Dollar fort, bei dem etwa 300 langjährige Krypto-Nutzer bestohlen wurden, deren Secret Recovery Phrases kompromittiert worden waren. Die FTC warnte außerdem vor Phishing-E-Mails, die Krypto-Unternehmen imitieren, und eine praktische Checkliste zur Untersuchung von Wallet-Diebstählen machte die Runde. Auf der Engineering-Seite führte LavaMoat 27 Dependency-Updates zusammen und machte Fortschritte beim ScorchWrap-Plugin, bei der Härtung von MetaMask Mobile und beim „Scuttling"-Feature; Endo verbesserte die CommonJS-Fehlerbehandlung; und Zbigniew Tenerowicz' Vortrag „Eval all the Strings!" über Hardened JavaScript wurde veröffentlicht. Die vollständige Übersicht finden Sie unten – aber zuerst...
MINT-Pionierin im Fokus: Ada Lovelace, die erste Computerprogrammiererin
Ada Lovelace (1815–1852) war eine englische Mathematikerin, die als erste Computerprogrammiererin gilt – für ihre Arbeit an Charles Babbages geplantem Analytical Engine, einschließlich eines Algorithmus zur Berechnung von Bernoulli-Zahlen. Sie erkannte auch früh, dass eine solche Maschine weit mehr leisten könnte als reine Berechnungen. Dieses frühe Beharren auf präziser, nachprüfbarer Logik ist dieselbe Disziplin, auf die vertrauenswürdige Softwaresicherheit bis heute angewiesen ist.
LavaMoat-Update: 27 Dependency-Pull-Requests, ScorchWrap, Mobile-Absicherung und Scuttling
LavaMoat führte 27 einzelne Pull Requests mit Dependency-Updates für seine Pakete zusammen, darunter Fixes für bekannte Schwachstellen, und veröffentlichte Minor Releases mit aktualisierten Dependencies und Kompatibilitätsfixes für Node.js 18. Die Arbeiten am ScorchWrap-Webpack-Plugin wurden fortgesetzt, mit Fortschritten bei der Integration der Runtime in das Bundle selbst sowie Erkenntnissen zur Kompatibilität mit anderen Plugins. Unser Team arbeitete außerdem weiter an den Supply-Chain-Schutzmaßnahmen von LavaMoat für MetaMask Mobile – damit auch eine kompromittierte Dependency nicht auf sensible Browser-APIs zugreifen kann. Im Rahmen dieser Arbeit wurden nicht abgefangene Ausnahmen (TypeErrors, die von Bibliotheken wie ethjs ausgelöst werden) behoben, die beim Debuggen unter Chrome V8 auftraten. Verwandte Arbeiten trieben das „Scuttling"-Feature voran – eine Funktion, die den Zugriff auf gemeinsame Globals im gesamten Window deaktiviert, wenn die Endowments eines Pakets andernfalls zu weitreichend wären.
Endo verbessert den CommonJS-Fehler bei fehlenden Modulen im Compartment-Mapper
Endo verbesserte den CommonJS-Fehler bei fehlenden Modulen in seinem Compartment-Mapper und macht Fehler verständlicher, wenn ein benötigtes Modul nicht gefunden werden kann.
Zbigniew Tenerowicz' Vortrag „Eval all the Strings!" über Hardened JavaScript
MetaMasks Zbigniew Tenerowicz (ZB) hielt einen kompakten Vortrag mit dem Titel „Eval all the Strings!" beim Node Congress in Berlin im April 2023. In etwas mehr als 7 Minuten sprach ZB über Secure ECMAScript (SES) und Compartments – beides TC39-Proposals – sowie über die Tooling-Lösungen, die er entwickelt, um diese nutzbar zu machen. In seinen Worten: „SES + Tooling (LavaMoat oder Endo) ermöglicht es, den Zugriff auf Netzwerk, fs, Core-Module oder Globals auf Paketebene einzuschränken … Für mich ist das der letzte Schritt zur Absicherung der npm-Supply-Chain – selbst wenn ein Paket von böswilligen Akteuren übernommen wird, kann es mir nichts anhaben."
„Dieser Vortrag handelt von SecureEcmaScript und Compartments, beides TC39-Proposals, und ich arbeite an Tooling, um diese Konzepte gemeinsam mit den Verfechtern dieser Proposals nutzbar zu machen. Dies ist ein Erfahrungsbericht aus erster Hand über die Zukunft der JavaScript-Sicherheit. SES + Tooling (LavaMoat oder Endo) ermöglicht es, den Zugriff auf Netzwerk, fs, Core-Module oder Globals auf Paketebene einzuschränken. Ich möchte zeigen, wie sie funktionieren, welche Möglichkeiten sie eröffnen und wie man diese Zukunft mit etwas Aufwand schon heute Wirklichkeit werden lassen kann. Für mich ist das der letzte Schritt zur Absicherung der npm-Supply-Chain – selbst wenn ein Paket von böswilligen Akteuren übernommen wird, kann es mir nichts anhaben."
The Defiant: MetaMasks Taylor Monahan erklärt einen 10-Millionen-Dollar-Multichain-Hack
In einem Interview mit The Defiant erläuterte MetaMask-Sicherheitsforscherin Taylor Monahan den Multichain-Hack, den sie und ihr Kollege Harry Denley im April 2023 zu untersuchen begannen – ein massiver Angriff auf langjährige Krypto-Nutzer – sowie Tipps zum Schutz und eine Diskussion über „Code is Law" und „Blockchain is Immutable". Die Angreifer verwendeten eine ungewöhnliche Methode: Sie tauschten die gestohlenen Assets innerhalb der Wallet des Opfers, bevor sie diese an eine dezentrale Börse (DEX) sendeten. Wie die Angreifer in die Wallets von rund 300 Personen eindrangen, deren Secret Recovery Phrases kompromittiert worden waren, ist nach wie vor unbekannt; es wird davon ausgegangen, dass der Angriff nicht über typische Phishing-Methoden durchgeführt wurde. Monahans Empfehlungen für mehr Sicherheit umfassten die Nutzung einer Hardware-Wallet und die Verteilung von Guthaben auf mehrere Wallets.
Eine Checkliste zur Untersuchung von Wallet-Diebstählen von Jon_HQ
Wenn eine Wallet geleert wird, muss man kein Sicherheitsforscher sein, um herauszufinden, wie der Angriff ablief. Twitter-Nutzer Jon_HQ veröffentlichte am 5. Mai 2023 eine ausführliche Checkliste auf Twitter, die die Schritte zur Untersuchung eines Diebstahls durchgeht – es lohnt sich, sie als Referenz zu bookmarken.
FTC warnt: Dringende E-Mails von Krypto-Unternehmen sind Phishing-Betrug
Eine Verbraucherwarnung der Federal Trade Commission (FTC) rief die Öffentlichkeit dazu auf, bei Nachrichten, die scheinbar von Krypto-bezogenen Diensten stammen, besonders vorsichtig zu sein. Bei unaufgeforderten E-Mails riet die FTC davon ab, unabhängig vom Inhalt der Nachricht schnell zu handeln – das Erzeugen eines falschen Dringlichkeitsgefühls ist eine gängige Betrugsmasche, die das kritische Denken ausschalten soll. Außerdem empfahl die FTC, keine Links in unaufgeforderten E-Mails anzuklicken und Sicherheitssoftware aktuell zu halten. Phishing-E-Mails von MetaMask-Imitatoren können unter https://support.metamask.io/chat gemeldet werden.
So erkennen Sie echte MetaMask-Konten im Vergleich zu gefälschten Konten
Betrüger imitieren häufig vertrauenswürdige Krypto-Marken. Sie erstellen täuschend ähnliche Websites, E-Mails und Social-Media-Profile, um Nutzer dazu zu bringen, ihren Kontozugang preiszugeben. Um Ihnen zu helfen, geschützt zu bleiben, erklärt unsere Support-Wissensdatenbank, wie Sie das echte MetaMask erkennen und sicherstellen können, dass Sie den richtigen Support-Kanal nutzen.
Der MetaMask Krypto-Sicherheitsbericht für Mai 2023 behandelte Taylor Monahans fortlaufende Untersuchung eines 10-Millionen-Dollar-Multichain-Hacks, der auf langjährige Krypto-Nutzer abzielte, eine FTC-Warnung vor Phishing-E-Mails, die Krypto-Unternehmen imitieren, sowie Zbigniew Tenerowicz' Vortrag „Eval all the Strings!" über Hardened JavaScript. Stöbern Sie in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
