Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En abril de 2024, ZachXBT, Taylor Monahan de MetaMask y otros investigadores compartieron su investigación sobre 200 millones de dólares blanqueados por el Grupo Lazarus de Corea del Norte. Por otro lado, el Security Lab de MetaMask presentó una propuesta Snow.js al W3C, mejoró la generación de políticas de LavaMoat para módulos ES, mientras que Gal Weizman detalló la nueva herramienta LavaDome para mostrar datos sensibles de forma segura. Mientras tanto, la Security Alliance lanzó un ISAC gratuito y nativo del ecosistema cripto. El desglose completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Fazlur Rahman Khan, ingeniero estructural y padre del diseño tubular
Fazlur Rahman Khan (1929–1982) fue un ingeniero estructural y arquitecto bangladesí-estadounidense, pionero en el diseño asistido por computadora y la figura conocida como el "padre del diseño tubular" para rascacielos. Sus sistemas estructurales hicieron posible una nueva generación de rascacielos eficientes, incluidas la Torre Willis (Sears) y el John Hancock Center. Diseñar estructuras que se mantengan en pie bajo una presión enorme es, a su manera, el mismo desafío que afronta la ingeniería de seguridad: construir algo que aguante cuando todo conspira en su contra.
Actualizaciones de LavaMoat y Snow: una propuesta al W3C, generación de políticas ESM y bloqueo en iOS
El Security Lab de MetaMask presentó una propuesta al W3C para su incubación, introduciendo funcionalidad básica que permitiría al equipo implementar Snow.js del lado del usuario en lugar de a través de LavaMoat. Integrarlo directamente en el navegador haría que eludirlo fuera prácticamente imposible y es un paso clave para abordar la "preocupación de mismo origen". El equipo también mejoró su generación de políticas para admitir ECMAScript Modules (ESM)—incorporando la sintaxis de import y export más allá del sistema tradicional require—tanto para el plugin de webpack como para una nueva herramienta basada en Endo; además, la compatibilidad con target: 'node' y módulos integrados llegará al plugin LavaMoat para webpack en la próxima versión. Lockdown ya se ha lanzado de forma permanente en MetaMask Mobile para iOS, y el equipo está mejorando su documentación y vídeos educativos para facilitar la incorporación a LavaMoat en el ecosistema más amplio.
Cómo LavaDome protege de forma proactiva contra hackeos en el código de aplicaciones web
A medida que la confianza en el código dentro de las aplicaciones web se erosiona, las protecciones tradicionales como la Same Origin Policy resultan cada vez más insuficientes frente a amenazas internas. MetaMask está abordando esto con LavaDome, una herramienta experimental para mostrar información sensible en el DOM de forma segura, sin que pueda ser robada por código malicioso a través de ataques XSS o de cadena de suministro. Como explicó Gal Weizman, LavaDome puede renderizar valores sensibles —un PIN, una Secret Recovery Phrase, una Private Key u otros datos personales— en el DOM de forma segura, con una fricción de integración cercana a cero.
Una falsa amenaza de demanda expone una red de phishing de Privnote
Un ciberdelincuente que gestionaba versiones falsas del servicio de mensajes autodestructivos Privnote expuso inadvertidamente la escala de su operación al amenazar con demandar a MetaMask. Todo comenzó cuando un usuario de GitHub se quejó de que su sitio, privnote.co, había sido añadido erróneamente a la lista de bloqueo de phishing de MetaMask y amenazó con emprender acciones legales. Cuando se le presionó para que presentara realmente la demanda, se puso nervioso y comenzó a nombrar otros dominios que controlaba, como privnode.com, privnate.com y prevnóte.com, revelando toda una red.
Taylor Monahan señaló el desliz y, como Brian Krebs detalló, estos sitios imitan al Privnote real en apariencia y función con una diferencia crítica. Cualquier mensaje que contenga una dirección de criptomoneda es reescrito automáticamente para sustituir la dirección de pago real por una que pertenece a los estafadores y, como la nota se autodestruye, el cambio es fácil de pasar por alto. Además, es un truco muy lucrativo: a través de solo uno de estos sitios de phishing, cuatro direcciones de estafa movieron casi 18.000 dólares en cripto en apenas cinco días durante el mes de marzo.
ZachXBT rastrea cómo el Grupo Lazarus blanqueó 200 millones de dólares
ZachXBT, con la ayuda de Taylor Monahan del equipo de seguridad de MetaMask y otros investigadores, siguió el rastro de transacciones a través de mixers e intercambios centralizados para documentar cómo el Grupo Lazarus blanqueó 200 millones de dólares procedentes de más de 25 hackeos cripto y los convirtió en dinero fiat entre 2020 y 2023.
Entre 2020 y 2023, el infame Grupo Lazarus, con presuntos vínculos con Corea del Norte, blanqueó aproximadamente 200 millones de dólares. ZachXBT, junto con Taylor Monahan del equipo de seguridad de MetaMask y otros investigadores, compartió una investigación sobre el rastro de transacciones de Lazarus —a través de mixers e intercambios centralizados— para rastrear más de 25 hackeos atribuidos al grupo.
La Security Alliance (SEAL) lanza un ISAC gratuito y nativo del ecosistema cripto
La Security Alliance lanzó un Centro de Intercambio y Análisis de Información (ISAC) gratuito diseñado para el cripto de código abierto, con soporte tanto para entidades centralizadas como descentralizadas. Su iniciativa SEAL 911, de la que samczsun señaló que ha ayudado a recuperar más de 50 millones de dólares desde su lanzamiento el año anterior, invitó a las partes interesadas a solicitar su adhesión, incluyendo exchanges y plataformas de trading, proyectos blockchain, proveedores de wallets y almacenamiento, pools de minería e infraestructura, empresas de ciberseguridad e investigadores especializados en blockchain, y expertos en regulación y cumplimiento normativo.
Bernhard Mueller analiza el servicio Angel Drainer
Bernhard Mueller publicó un análisis detallado de Angel Drainer, uno de los servicios de drainer más notorios en operación. Aunque el servicio anuncia una forma de eludir la detección de Blockaid, la función Blockaid habilitada por defecto en MetaMask sigue marcando la transacción como fraudulenta, neutralizando el ataque completo.
Usuarios de LastPass afectados por phishing de CryptoChameleon que elude la MFA
Los usuarios de LastPass fueron objetivo de una sofisticada campaña de phishing que combinaba correos electrónicos, SMS y llamadas de voz para robar contraseñas maestras. Los atacantes utilizaron CryptoChameleon, un kit de phishing como servicio centrado en cuentas de criptomonedas capaz de eludir la autenticación multifactor (MFA), engañando a los usuarios para que creyeran que se había accedido a su cuenta de LastPass desde un nuevo dispositivo y redirigiéndolos a un sitio de phishing diseñado para capturar credenciales. LastPass tomó medidas contra la campaña, que forma parte de una serie de ataques contra el gestor de contraseñas, incluida una brecha significativa divulgada el año anterior. La defensa es sencilla: verifica cualquier comunicación que afirme provenir de un proveedor de servicios contactándolo a través de su sitio web oficial o línea de soporte en lugar de responder directamente, y desconfía de las solicitudes urgentes y no solicitadas para compartir información, hacer clic en enlaces o descargar archivos adjuntos.
Google demanda a dos desarrolladores por 87 aplicaciones cripto fraudulentas
Google presentó una demanda contra los desarrolladores Yunfeng Sun y Hongnam Cheung por distribuir 87 aplicaciones de criptomonedas fraudulentas en Google Play Store, afectando a más de 100.000 usuarios, de los cuales 8.700 se encontraban en Estados Unidos. La demanda, presentada en el Distrito Sur de Nueva York, describe cómo las aplicaciones atraían a los usuarios con la promesa de inversiones en cripto y luego los atrapaban con comisiones para retirar supuestas ganancias, disfrazándose de plataformas de trading legítimas y evadiendo su eliminación cambiando repetidamente de identidad e infraestructura de red. El esquema, al estilo del pig butchering, es un recordatorio de investigar y verificar la legitimidad de una aplicación —examinando reseñas y comentarios en redes sociales— y de recordar que las ofertas que parecen demasiado buenas para ser verdad, generalmente lo son.
Crypto drainers desplegados en ~2000 sitios de WordPress
Casi 2.000 sitios de WordPress fueron hackeados para mostrar pop-ups falsos de NFT y descuentos que llevaban a los visitantes a conectar sus wallets a crypto drainers. La campaña inicialmente distribuyó drainers a través de anuncios y YouTube, luego pasó a forzar contraseñas de administrador por fuerza bruta y ahora muestra ofertas fraudulentas de NFT que engañan a los usuarios para que conecten sus wallets a scripts maliciosos servidos desde dynamic-linx[.]com. Los usuarios solo deben conectar sus wallets a plataformas de confianza, mantener fondos importantes en una hardware wallet, conservar activos mínimos en wallets de uso diario y utilizar cuentas diferentes según el nivel de riesgo.
El Informe de Seguridad Cripto de MetaMask de abril de 2024 cubrió la investigación de ZachXBT sobre los 200 millones de dólares blanqueados por el Grupo Lazarus, el lanzamiento del ISAC gratuito y nativo del ecosistema cripto de la Security Alliance, y una campaña de phishing de CryptoChameleon dirigida a usuarios de LastPass que eludía la autenticación multifactor. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
