Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Im September 2023 startete MetaMask die offene Beta von Snaps – und brachte damit erlaubnisfreie, anpassbare Sicherheit in die Wallet. Wir teilten außerdem Bildungsinhalte zur Self-Custody, die in Zusammenarbeit mit Ledger entstanden sind, und veranstalteten einen State of Security Space gemeinsam mit Wallet Guard. Auf der Tool-Seite steigerte LavaMoat seine Release-Frequenz, fügte Node-20-Unterstützung hinzu und bereitete ScorchWrap für die Beta vor. Außerdem präsentierten MetaMasks Gal Weizman und Zbigniew Tenerowicz auf dem W3C-Event „Secure the Web Forward" zu gehärtetem JavaScript und Browser-Realms. Auf der Bedrohungsseite verknüpfte Taylor Monahan rund 35 Millionen Dollar an Diebstählen mit in LastPass gespeicherten Secret Recovery Phrases, und wir erläuterten, wie der SIM-Swap-Angriff der Pink-Drainer-Gruppe Vitalik Buterins Account kompromittierte. Die vollständige Übersicht folgt unten – aber zuerst...
MINT-Pionier im Fokus: Luis von Ahn, Miterfinder von CAPTCHA
Luis von Ahn ist ein guatemaltekischer Informatiker, der CAPTCHA und reCAPTCHA miterfunden hat – die Challenge-Response-Tests, die Menschen von Bots unterscheiden und Webdienste vor automatisiertem Missbrauch schützen – und der die Idee der menschlichen Berechnung (Human Computation) geprägt hat. Später war er Mitgründer von Duolingo. Seine Arbeit bildet eine grundlegende Schicht der alltäglichen Web-Sicherheit: der kostengünstige und skalierbare Nachweis, dass sich auf der anderen Seite ein echter Mensch befindet.
MetaMask startet die offene Beta von Snaps – mit Sicherheits-Snaps im Verzeichnis
MetaMask startete die offene Beta von Snaps am 12. September 2023 und erweiterte damit die anpassbaren Sicherheitsoptionen innerhalb der Wallet basierend auf den Präferenzen und Bedürfnissen der Nutzer. Snaps sind Funktionen und Features, die von Drittentwicklern erstellt werden und die Nutzer direkt in ihre Wallet installieren können (metamask.com/snaps). Diese offene Beta richtet sich als Ausgangspunkt an Power-User und Early Adopters. Mehrere sicherheitsorientierte Snaps sind bereits im geprüften Snaps Directory verfügbar. Jeder Snap im offiziellen Verzeichnis wird vom MetaMask-Team und externen Prüfern überprüft und freigegeben. In einem begleitenden Thread teilte Christian Montoya von MetaMask Snaps grundlegende Tipps zur Optimierung der MetaMask-Sicherheit und hob Snaps in der Beta hervor, die Nutzer vor riskanten Transaktionen schützen können.
MetaMask und Ledger veröffentlichen eine Self-Custody-Sicherheitslektion
MetaMask hat in Zusammenarbeit mit Ledger eine Web3-Sicherheitslektion veröffentlicht, die die Verantwortung im Zusammenhang mit Self-Custody, die Vermeidung gängiger Angriffsvektoren und die Bedeutung der Nutzung einer Hardware-Wallet behandelt. Zur Bewerbung der Lektion nahm MetaMask Senior Security Researcher Miles Nolan gemeinsam mit Kollegen von MetaMask und Ledger als Co-Host an einem Live-X Space am 20. September 2023 teil.
MetaMask und Wallet Guard veranstalten einen Q3 State of Security Space
MetaMask und Wallet Guard veranstalteten gemeinsam einen X Space zum Stand der Sicherheit. Wallet Guards Ohm, Martin und Michael wurden dabei von Marco Menozzi (MetaMask Security) und Christian Montoya (MetaMask Snaps) begleitet, um über Gerätesicherheit, Social Engineering, Datenpannen, SIM-Swapping, Betrugsanzeigen und MetaMask Snaps zu diskutieren. Wallet Guard veröffentlichte außerdem eine schriftliche Zusammenfassung der Aufzeichnung.
HackerOnes Ambassador World Cup Halbfinale: Bug-Hunting bei MetaMask, Shopify und Tinder
HackerOne startete am 27. September 2023 das Halbfinale seines Ambassador World Cup, bei dem 4 Teams für Partner wie MetaMask, Shopify und Tinder nach Sicherheitslücken suchten, um deren Produkte zu sichern und Kunden zu schützen.
Eine Calldata-Allowlist soll DNS-Hijacking-Verluste reduzieren
In den vergangenen 3 Jahren wurden durch DNS-Hijacking und das Einschleusen schädlicher Inhalte mehr als 125 Millionen Dollar erbeutet. MetaMask übernimmt eine vom Yearn-Team entwickelte Lösung: eine Blockchain-Calldata-Allowlist, die verhindert, dass böswillige Akteure Nutzer im Falle eines DNS-Hijacks schädigen können. Das Developer-Relations-Team von MetaMask wendet sich an Dritte, deren Beteiligung für die Initiative entscheidend sein wird. Weitere Details finden sich in einem öffentlichen Dokument, das auf das Proof-of-Concept-Repo verweist, sowie in einem kurzen Erklärvideo mit Miles Nolan.
LavaMoat-Update: schnellere Releases, Node-20-Unterstützung, ScorchWrap-Beta und Mobile Lockdown
Verbesserungen am Release-Prozess haben das Veröffentlichen vereinfacht, sodass eine höhere Release-Frequenz nun zur Norm geworden ist. Eine Änderung an der Teststruktur ermöglicht nun das erfolgreiche Ausführen der Tests unter Node 20, das offiziell unterstützt wird. Das ScorchWrap-Plugin ist bereit für die Beta und wird auf zwei Remote-Entwickler-Events angekündigt; das Beta-Programm läuft in den LavaMoat Discussions. Lockdown in MetaMask Mobile funktioniert nun und sollte bald veröffentlicht werden.
Gal Weizman und Zbigniew Tenerowicz präsentieren auf dem W3C-Event „Secure the Web Forward"
Beim W3C-Event „Secure the Web Forward" präsentierte Zbigniew Tenerowicz zur Anwendung von gehärtetem JavaScript für die Supply-Chain-Sicherheit als proaktive Verteidigung, und Gal Weizman präsentierte dazu, wie JavaScript-Realms genutzt werden, um bestehende Web-App-Sicherheitstools zu umgehen. In einem verwandten Paper zur „Same-Origin-Problematik" beschreibt Weizman – der das Snow-JS-Projekt betreut – den mangelnden Einfluss von Apps auf neue Realms, die unter ihrer eigenen Origin entstehen, warum aktuelle Lösungsansätze unzureichend sind und wie eine browsernative Lösung einen sicheren und performanten Fix liefern könnte. Das Paper wurde in diesem Monat der W3C-Sicherheitsarbeitsgruppe vorgestellt.
In LastPass gespeicherte Secret Recovery Phrases mit rund 35 Millionen Dollar an gestohlenen Geldern in Verbindung gebracht
Eine Reihe hochwertiger Diebstähle in Höhe von rund 35 Millionen Dollar könnte mit einem Datenleck zusammenhängen, das LastPass fast ein Jahr zuvor offengelegt hatte. MetaMasks Taylor Monahan verfolgt die Spuren seit Dezember 2022 und stellt fest, dass die Opfer „wirklich alle vernünftigerweise sicher aufgestellt sind" und „tief in dieses Ökosystem integriert sind" – darunter Mitarbeiter renommierter Krypto-Organisationen, Risikokapitalgeber sowie Personen, die DeFi-Protokolle entwickelt, Contracts deployed und Full Nodes betrieben haben. Der gemeinsame Nenner, den sie gefunden hat: Die Opfer hatten ihre Secret Recovery Phrases zu einem bestimmten Zeitpunkt in LastPass gespeichert. Ihr Rat war unmissverständlich: Bewahren Sie nicht alle Ihre Assets unter einem einzigen Schlüssel oder einer einzigen Phrase über Jahre hinweg auf – verteilen Sie Assets, besorgen Sie sich eine Hardware-Wallet und migrieren Sie jetzt. Krebs on Security berichtet ausführlicher darüber.
ERC-7512 schlägt einen Onchain-Standard für Smart-Contract-Audits vor
Ein Vorschlag für ERC-7512 zielt darauf ab, Smart-Contract-Audits onchain abzubilden. Indem Nutzer und Apps Audits renommierter Prüfer verifizieren können, würde der Standard ein Onchain-Reputationssystem für Prüfer etablieren und dazu beitragen, ein vertrauenswürdigeres Umfeld für die Nutzung von Smart Contracts zu schaffen.
Rekts „Gone Phishing" und der Pink-Drainer-Angriff auf Vitalik Buterin
Rekts „Gone Phishing" fasst eine Reihe von Betrugsmaschen zusammen, die kompromittierte Frontends, Pig Butchering, einen achtstelligen Onchain-Fehler und gehackte Accounts öffentlicher Persönlichkeiten sowie sogar Regierungsbehörden umfassen – einschließlich des aufsehenerregenden SIM-Swap-Drainer-Angriffs auf Vitalik Buterin. Für weitere Informationen zur dahinterstehenden Gruppe dokumentierte Boring Security die Methoden von Pink Drainer, nachdem Buterins Account am 10. September 2023 kompromittiert wurde.
MetaMasks Krypto-Sicherheitsbericht für September 2023 behandelte den Start der offenen Beta von MetaMask Snaps, rund 35 Millionen Dollar an Diebstählen, die Taylor Monahan mit in LastPass gespeicherten Secret Recovery Phrases in Verbindung brachte, sowie den Pink-Drainer-SIM-Swap-Angriff, der Vitalik Buterins Account kompromittierte. Stöbern Sie in früheren Ausgaben des MetaMask Krypto-Sicherheitsberichts für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
