Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
Este mes, lanzamos una nueva función de seguridad en transacciones junto con OpenSea y Blockaid que ya ha bloqueado más de 4.000 transacciones de riesgo. Por otro lado, una estafa como servicio llamada Venom Drainer robó 27 millones de dólares a unas 15.000 personas, y nuestros investigadores Taylor Monahan y Harry Denley comenzaron a investigar una campaña separada que estaba vaciando las carteras de usuarios cripto con mucha experiencia. Etherscan también modificó una configuración para ayudar a frenar las estafas de envenenamiento de direcciones. El análisis completo está a continuación, pero primero...
Pionero STEM destacado: Michael Faraday, pionero del electromagnetismo y la electroquímica
Michael Faraday (1791–1867) fue un científico inglés en gran medida autodidacta cuyos experimentos sentaron las bases del electromagnetismo —incluida la inducción electromagnética— y la electroquímica, campo en el que sus leyes de la electrólisis aún llevan su nombre. Su insistencia en la experimentación cuidadosa y reproducible, por encima de las suposiciones, es la misma disciplina basada en evidencia en la que se apoya una investigación de seguridad sólida.
Endo renombra importHook y avanza en la compatibilidad de BigInt y SES para móviles
El exitModuleImportHook de Endo fue renombrado a importHook y está pendiente de fusión en el compartment-mapper. SES 0.18.3+ ahora incluye la corrección mencionada anteriormente para React Native Android JSC en relación con el AsyncGenerator y AsyncFunctionPrototype no estándar. El equipo también completó una exploración de la compatibilidad de BigInt con las bibliotecas de MetaMask Mobile para determinar el mejor camino a seguir: el shim big-integer aún no es totalmente compatible con @ethereumjs/util, react-native-v8 es totalmente compatible pero presenta un problema de rendimiento bloqueante, y Hermes ofrece una implementación funcional de BigInt pero presenta otros problemas de compatibilidad y carece de la declaración "with" que SES necesita. Varios TypeError con SES 0.18.3+ bajo investigación en React Native 0.71.6 están acercando al equipo al bloqueo de MetaMask Mobile, que está siendo actualizado desde la versión 0.66.5, incluyendo React Native 0.72.0-rc1.
El plugin ScorchWrap de LavaMoat agrupa dependencias reales e inicia el soporte para Yarn Berry
El equipo de LavaMoat estuvo presente en el meetup de React Native London y en el Node Congress Berlin en abril de 2023, con un video de una charla de Zbigniew Tenerowicz previsto para el mes siguiente. El enfoque anterior para el empaquetado seguro funcionaba, pero sus limitaciones eran lo suficientemente pronunciadas como para que el equipo pasara de un loader a un plugin y encontrara una mejor etapa en el proceso de empaquetado para envolver cada módulo. El prototipo del plugin, con el nombre en clave ScorchWrap, puede crear un paquete básico con dependencias reales independientemente del tipo de código (CommonJS, ESM o TypeScript compilado); se necesita trabajo adicional para la compatibilidad con otros plugins y pruebas a gran escala. El equipo también inició una investigación preliminar sobre la compatibilidad de SES con Hermes, comenzó el soporte de Yarn Berry (3+) para @lavamoat/allow-scripts, y tiene presentaciones en curso sobre la nueva arquitectura de React Native y su bloqueo.
MetaMask, OpenSea y Blockaid lanzan seguridad en transacciones que bloquea más de 4.000 transacciones de riesgo
En abril de 2023, nos asociamos con OpenSea y Blockaid en una función experimental de seguridad en transacciones de activación voluntaria que detecta estafas conocidas antes de que los usuarios las aprueben, y ya había bloqueado más de 4.000 transacciones de riesgo. OpenSea proporciona su lista de bloqueo de estafas y Blockaid analiza comportamientos maliciosos en tiempo real, con más trabajo de seguridad en camino.
Gal Weizman descubre un XSS almacenado en Snyk Advisor (CVE-2023-1767)
Gal Weizman, de MetaMask Security, documentó su investigación en "CVE-2023-1767 — Stored XSS on Snyk Advisor service can allow full fabrication of npm packages health score." Como él mismo resumió, un XSS almacenado en Snyk Advisor le permitió falsificar la puntuación de salud otorgada a los paquetes bajo su control, haciendo que un paquete "malicioso" pareciera saludable, popular y legítimo —algo que un atacante podría haber utilizado para convencer a otros de instalar un paquete npm realmente malicioso.
Venom Drainer reemplaza a Monkey Drainer y vacía 27 millones de dólares de unas 15.000 víctimas
Monkey Drainer puede ser historia, pero Venom Drainer tomó su lugar casi de la noche a la mañana. Según un informe de Scam Sniffer de principios de abril de 2023, la estafa como servicio Venom Drainer vació 27 millones de dólares de aproximadamente 15.000 víctimas —con las cinco principales víctimas perdiendo 14 millones de dólares por sí solas— a través de unos 530 sitios de phishing dirigidos a alrededor de 170 marcas.
Una campaña de drenaje multicadena apunta a usuarios cripto con mucha experiencia
A mediados de mes, Taylor Monahan de MetaMask Security y Harry Denley lanzaron una investigación exhaustiva tras descubrir una ofensiva multicadena dirigida a personas que llevaban años activas en el ecosistema cripto, muchas de ellas con amplios conocimientos en seguridad personal. Las Secret Recovery Phrases involucradas controlaban claves creadas entre 2014 y 2022, y la investigación aún estaba en curso. "Desde diciembre de 2022 ha vaciado más de 5.000 ETH y ??? en tokens / NFTs / monedas en más de 11 cadenas. Ha arruinado a amigos míos y a OGs que tienen una seguridad razonable. Nadie sabe cómo.", compartió Monahan.
Etherscan oculta las transferencias de valor cero para frenar el envenenamiento de direcciones
CoinDesk informó que "Etherscan Reconfigures Blockchain Explorer Settings to Filter Out Potential Scams." El explorador ahora oculta por defecto las transferencias de tokens de valor cero, una configuración orientada a prevenir el envenenamiento de direcciones —donde los atacantes envían tokens prácticamente sin valor a una cartera para incitar al usuario a copiar y enviar fondos posteriormente a una dirección fraudulenta.
Un falso "hackeo" de Uniswap engaña a los usuarios hacia un Revoke.cash falso
Los estafadores manipularon los hashtags #UniswapHack y #UniswapExploit para hacerlos tendencia y luego usaron el supuesto "hackeo" para dirigir a los usuarios hacia una versión falsa de Revoke.cash. Como señalaron Hayden Adams y Evan Van Ness el 15 de abril de 2023, Uniswap no había sido hackeado, recordando a los usuarios que mantuvieran la calma y evitaran actuar por pánico.
El phishing mediante anuncios de búsqueda de Google ha robado 4 millones de dólares
Un informe de Scam Sniffer documentó el phishing mediante anuncios de búsqueda de Google que resultó en el robo de 4 millones de dólares. El phishing mediante anuncios de búsqueda de Google es una estafa en la que los defraudadores pagan por resultados patrocinados que imitan marcas cripto reales, enviando a los usuarios a sitios similares que roban las credenciales de su cartera o sus fondos. Estas estafas son una amenaza recurrente, así que verifica las URLs, utiliza marcadores siempre que sea posible, omite los resultados de búsqueda patrocinados y considera usar un bloqueador de anuncios para reducir la exposición.
El Informe de Seguridad Cripto de MetaMask de abril de 2023 cubrió el lanzamiento de una función experimental de seguridad en transacciones de MetaMask, OpenSea y Blockaid, la estafa como servicio Venom Drainer que robó 27 millones de dólares a unas 15.000 víctimas, y una investigación en curso sobre una campaña de drenaje multicadena dirigida a usuarios cripto con mucha experiencia. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
