Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.
Im November 2022 brachte LavaMoat Snow und Global Scuttling für alle Nutzer in die Produktion, einschließlich der MetaMask Extension, zusammen mit einem vierfach rückwärtsgesaltotem SES-Build, Node.js Domain Taming und einer ersten Gegenmaßnahme gegen Bin Confusion Attacks. Gleichzeitig entwickelte Endo einen Prototyp eines General-Purpose-Bundlers, und das Threat Intelligence Team begann mit dem Aufbau einer STIX-basierten DeFi-Incident-Datenbank. Auf Community-Seite teilte MetaMask Kumavis' Devcon-Vortrag über JavaScript-Supply-Chain-Sicherheit, Gal Weizman plädierte für die Integration von Snow in die Extension, und in einem Twitter Space wurde diskutiert, wie Snaps die Self-Custody im Zuge des FTX-Zusammenbruchs stärken können. Warnende Beispiele rundeten den Monat ab: Phishing über Google Ads und Google Sites, eine bösartige Chrome-Extension, die über gefälschte Flash-Player-Updates verbreitet wurde, sowie Betrug durch Telegram-Trading-Bots. Die vollständige Übersicht findest du unten – aber zuerst...
MINT-Pionierin im Fokus: Daphne Oram, Pionierin der elektronischen Musik und Mitgründerin des BBC Radiophonic Workshop
Daphne Oram (1925–2003) gründete 1958 den BBC Radiophonic Workshop mit und entwickelte die von ihr als Oramics bezeichnete Technik, bei der sie Formen direkt auf Film zeichnete, um Klänge zu synthetisieren. Ihre Arbeit, handgezeichnete Muster in präzise Signale zu übersetzen, nahm die Signal-und-Muster-Denkweise vorweg, die der Datenverifizierung in Self-Custodial-Wallet-Software zugrunde liegt. Oram widmete ihre Karriere der Überzeugung, dass hochkomplexe Werkzeuge ausdrucksstark und für Nicht-Spezialisten zugänglich gemacht werden können.
LavaMoat bringt Snow und Global Scuttling in die MetaMask Extension
November 2022 markierte einen bedeutenden Produktions-Rollout für LavaMoat. Snow (rekursive iframe- und Realm-Sicherheit) und Global Scuttling (Entfernung originaler globaler Referenzen nach richtlinienbasierter Erfassung) wurden für alle LavaMoat-Nutzer ausgeliefert, einschließlich der MetaMask Extension. Eine „vierfach rückwärtsgesaltote" Version von SES mit mehreren leistungsstarken Neuerungen wurde für das bevorstehende Release in LavaMoat eingeführt, darunter Domain Taming in Node.js – bemerkenswert, da einige Pakete noch immer das längst veraltete Domain-Modul von Node verwenden. Die erste Version der Bin Confusion Attack Mitigation wurde in @lavamoat/allow-scripts gemergt und wird im nächsten Release hinter einem Flag verfügbar sein. Außerdem befand sich ein neues CLI in der Entwicklung, das die Einrichtung aller LavaMoat-Tools in einem Repository durch einige geführte Fragen ermöglicht.
Endo entwickelt Prototyp eines General-Purpose-Bundlers auf Basis seines Compartment Mappers
Das Endo-Projekt experimentierte damit, Endo als Grundlage für einen Bundler zu nutzen, und baute einen Proof-of-Concept-General-Purpose-Bundler auf dem Compartment Mapper auf. Die Arbeit löste eine Reihe von Features und Verbesserungen in der Endo-Codebasis aus, darunter die Behebung eines Fehlers bei der Behandlung von Named Reexports.
MetaMask Threat Intelligence Team erstellt DeFi-Incident-Datenbank auf Basis von STIX
Das Threat Intelligence Team von MetaMask begann mit dem Aufbau eines standardisierten Datenspeichers für Vorfälle im Bereich Decentralized Finance (DeFi). Die Einträge verwenden die STIX-Sprache (Structured Threat Information Expression) und sollen als verlässliche Informationsquelle dienen, die sowohl Spezialisten als auch Enthusiasten, die DeFi-Sicherheitsvorfälle verfolgen, wertvolle Einblicke bietet.
MetaMask-Mitgründer Kumavis hält Vortrag über JavaScript-Supply-Chain-Sicherheit auf der Devcon 2022
MetaMasks eigener Kumavis hielt auf der Devcon 2022 einen Vortrag mit dem Titel The Attacker is Inside über JavaScript-Supply-Chain-Sicherheit. Er erklärte, wie Software-Supply-Chain-Angriffe in den JavaScript- und Krypto-Ökosystemen funktionieren – wo jedes Projekt auf gemeinsam genutztem Open Source aufbaut – und wie MetaMasks kostenloses Open-Source-Tool LavaMoat Nutzer und ihre Wallets schützt.
Gal Weizman plädiert für die Integration von Snow in die MetaMask Extension
LavaMoat-Contributor Gal Weizman veröffentlichte „Integrating Snow into MetaMask" und sprach sich dafür aus, die Browser-Sicherheitstechnologie Snow direkt in die MetaMask Browser Extension zu integrieren. Snow erzwingt rekursive Realm-Ownership über alle iframes hinweg und schließt damit die Angriffsfläche, bei der neu erstellte Browser-Realms genutzt werden, um auf unveränderte API-Referenzen zuzugreifen und Richtlinien zu umgehen, die auf das Top-Level-Window angewendet werden.
Im Zuge des FTX-Zusammenbruchs brachte ein von MetaMask veranstalteter Twitter Space Christian Montoya (MetaMask), Zen Yong (Web3Auth) und Chirag Titiya (Biconomy) zusammen, um zu diskutieren, wie permissionlose Innovation durch MetaMask Snaps Nutzern helfen kann, die Kontrolle über ihre eigenen Mittel zu übernehmen und ihre Secret Recovery Phrases besser zu schützen. Wie Zen Yong es formulierte, hätte das FTX-Ereignis „weniger Auswirkungen auf Krypto im Allgemeinen gehabt, wenn mehr Menschen Self-Custody praktiziert hätten." Montoya betonte, dass das Ziel darin besteht, Entwicklern zu ermöglichen, neue Account-Management-Optionen in MetaMask einzubauen – und neuen Nutzern einfachere, sicherere Möglichkeiten zu bieten, die das Risiko des Schlüsselverlusts oder einer Kompromittierung des Accounts verringern.
Google Ads und Google Sites für das Hosting von Krypto-Wallet-Phishing-Seiten missbraucht
Phishing-Kampagnen nutzten weiterhin die Google-Infrastruktur, um Krypto-Wallet-Nutzer ins Visier zu nehmen. The Verge dokumentierte bereits, wie Phisher Google Ads nutzen, um Menschen um ihre Kryptowährungen zu bringen. Nutzer sollten außerdem auf URLs achten, die mit „sites.google." beginnen. Wie Mashable berichtete, haben Betrüger auch Erfolg damit, Phishing-Websites auf Google Sites zu erstellen, indem sie das Design vertrauenswürdiger Websites kopieren, um Menschen dazu zu bringen, sensible Informationen einzugeben.
Bösartige Chrome-Extension verbreitet sich über gefälschte Adobe Flash Player-Updates
BleepingComputer berichtete über eine bösartige Chrome-Extension, die Angreifern die Fernsteuerung eines Browsers ermöglicht. Die Extension ist nicht im offiziellen Chrome Web Store erhältlich und wird stattdessen über alternative Kanäle verbreitet, etwa über Websites, die gefälschte Adobe Flash Player-Updates anbieten. Die wichtigste Erkenntnis für Nutzer: Installiere keine Browser-Extensions oder „Updates" aus inoffiziellen Quellen.
Telegram-Trading-Bot-Betrug gefährdet Wallet-Schlüssel
Im November 2022 kursierten in sozialen Medien Warnungen vor bösartigen Aktivitäten auf Telegram und in Trading-Bots. Twitter-Nutzer Big D wies auf einen Trojaner hin, der sich über Telegram verbreitet und durch eine leicht zu übersehende automatische Einstellung auf ein Telefon heruntergeladen werden kann. Eine weitere Analyse untersuchte, wie Private Keys von Nutzern innerhalb von Trading-Bots offengelegt werden können. Die Nutzung von Trading-Bots nimmt zu, doch ihnen Wallet-Zugang zu gewähren, kann Gelder gefährden.
MetaMasks Krypto-Sicherheitsbericht für November 2022 behandelte den Produktions-Rollout von Snow und Global Scuttling in die MetaMask Extension durch LavaMoat, einen Twitter Space darüber, wie MetaMask Snaps die Self-Custody im Zuge des FTX-Zusammenbruchs stärken können, sowie warnende Beispiele zu Phishing über Google Ads und Google Sites, einer bösartigen Chrome-Extension und Telegram-Trading-Bot-Betrug. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
