Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En agosto de 2023, expertos en seguridad de MetaMask, Paradigm, Yearn y Polygon lanzaron Seal 911, una línea de emergencia experimental en Telegram para crisis cripto, mientras MetaMask tomó protagonismo en Defcon y Ethereum Argentina, y Gal Weizman marcó una dirección más audaz y centrada en la seguridad para Snow. Entre bastidores, LavaMoat automatizó sus lanzamientos y avanzó en el plugin ScorchWrap y el SES lockdown para móvil. Además, reportamos otro ataque real a la cadena de suministro: un paquete npm de Ethereum con typosquatting que robaba claves privadas, exactamente el tipo de amenaza que LavaMoat está diseñado para mitigar. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Émile Baudot, inventor del código Baudot
Émile Baudot (1845–1903) fue un ingeniero telegráfico francés que inventó el código Baudot, una de las primeras codificaciones de caracteres de longitud fija, considerada uno de los primeros medios prácticos de comunicación digital y precursora del ASCII. La unidad "baudio" lleva su nombre. Su trabajo en la estandarización de la codificación y transmisión de información es fundamental para el intercambio de datos seguro y fiable del que depende el ecosistema hoy en día.
Expertos en seguridad lanzan Seal 911, una línea de emergencia en Telegram para crisis cripto
Expertos en seguridad de MetaMask, junto con los de Paradigm, Yearn y Polygon, se unieron para crear una línea de atención experimental mediante un bot de Telegram para usuarios que enfrentan emergencias cripto, con la participación de Taylor Monahan y Harry Denley de MetaMask en el proyecto, denominado Seal 911. Como explicó samczsun el 8 de agosto de 2023, el grupo se propuso resolver la parte más difícil de la divulgación responsable: encontrar a la persona adecuada con quien hablar. El resultado es un bot de Seal 911 que cualquiera puede usar durante una emergencia para contactar a miembros de confianza de la comunidad de seguridad y su amplia red de contactos.
Gal Weizman: Snow prioriza la seguridad sobre la adopción y la funcionalidad
En la última actualización sobre LavaMoat's Snow, Gal Weizman de MetaMask señaló una dirección más audaz: "Hoy es un gran día en la vida de Snow, donde llegamos a la madura conclusión de que, para que el proyecto deje de perseguir la seguridad defensiva, debe dar pasos audaces a costa de la adopción y el comportamiento funcional." En otras palabras, Snow priorizará garantías de seguridad más sólidas incluso cuando eso reduzca la comodidad o la compatibilidad.
Zbigniew Tenerowicz y Kumavis lideran un taller de Codificación Defensiva en el AppSec Village de Defcon
En el AppSec Village de Defcon de agosto de 2023 en Las Vegas, Zbigniew Tenerowicz (ZB) y Kumavis de MetaMask lideraron un taller de Codificación Defensiva sobre JavaScript reforzado y el riesgo en la cadena de suministro de software. No hay grabación, pero el material del curso y las diapositivas están disponibles.
"¿Has oído hablar de la cadena de suministro de software? Sí, es eso en lo que resulta que eres responsable de lo que tu aplicación toma de la carpeta
Antonela Debiasi cuestiona la confianza en los intermediarios tecnológicos en Ethereum Argentina
La especialista en diseño seguro Antonela Debiasi tomó el escenario principal en Ethereum Argentina para examinar el modelo de confianza en las redes de criptomonedas, estableciendo una distinción entre los indicadores de confianza y los indicadores de seguridad corporativa.
LavaMoat y Endo avanzan en la automatización de lanzamientos, ScorchWrap y SES lockdown para móvil
El monorepo de LavaMoat está migrando a npm workspaces y release-please para la gestión de lanzamientos, lo que hará que los lanzamientos de LavaMoat sean automatizados y mucho más rápidos. El plugin webpack ScorchWrap ahora admite múltiples puntos de entrada y chunks, y la aplicación de políticas sobre los requisitos de módulos está implementada; el trabajo restante para la primera beta es la aplicación de políticas sobre variables globales. Mientras tanto, el SES lockdown se está dividiendo en dos etapas para permitir que los "Vetted Shims" se apliquen a los intrínsecos después de la reparación pero antes de la congelación, un cambio que debería mejorar la compatibilidad y eliminar uno de los últimos obstáculos para ejecutar MetaMask Mobile con lockdown. En móvil, SES continúa bloqueando el pre-bundle y permitiendo reflect-metadata como un shim de confianza, ya que es una dependencia directa de @consensys/on-ramp-sdk utilizado como componente de orden superior envuelto alrededor de la pantalla de Configuración.
Un paquete npm de Ethereum con typosquatting roba claves privadas, el tipo de ataque que LavaMoat combate
Phylum informó a principios de agosto de 2023 que había sido alertado sobre una serie de publicaciones sospechosas en npm, incluyendo un typosquat de una popular biblioteca de criptomonedas y una dependencia que ocultaba código malicioso en un archivo extenso que la mayoría de los desarrolladores nunca examinaría. El paquete exfiltraba claves privadas a un servidor remoto, precisamente el tipo de ataque a la cadena de suministro de software que LavaMoat está diseñado para mitigar.
El Informe de Seguridad Cripto de MetaMask de agosto de 2023 cubrió el lanzamiento de Seal 911, una línea de emergencia en Telegram entre organizaciones para crisis cripto, una nueva y audaz dirección centrada en la seguridad para Snow, y un paquete npm de Ethereum con typosquatting que robó claves privadas. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
