Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En diciembre de 2022, LavaMoat lanzó su mitigación de ataques de confusión de binarios bajo una bandera experimental, el bundler compartment-mapper de Endo superó una prueba de concepto inicial de CommonJS, y el Grupo de Trabajo de Seguridad de Node.js propuso un Modelo de Permisos a nivel de proceso que complementa el enfoque por paquete de LavaMoat. En cuanto a las amenazas, el Grupo Lazarus de Corea del Norte distribuyó una nueva variante del malware AppleJeus a través de aplicaciones cripto falsas, y una estafa de ingeniería social de un mes de duración drenó 14 Bored Apes por un valor de 1,07 millones de dólares. Para cerrar el año, el programa de recompensas por errores de HackerOne superó los 100 investigadores, PhishFort rastreó 19.571 ataques de phishing con la marca MetaMask, y MetaMask y Laconic lanzaron la iniciativa antiPhishing MobyMask. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Hedy Lamarr, co-inventora del espectro ensanchado por salto de frecuencia
Hedy Lamarr (1914–2000), junto al compositor George Antheil, patentó un "Sistema de Comunicación Secreta" en 1942 que utilizaba el salto de frecuencia para evitar que las señales de los torpedos teledirigidos fueran bloqueadas. La idea de distribuir una señal a través de frecuencias que cambian rápidamente se convirtió en la base de la tecnología moderna de espectro ensanchado utilizada en Wi-Fi, Bluetooth y GPS, los protocolos inalámbricos que conectan a los usuarios de carteras de autocustodia con las redes blockchain. Lamarr fue incluida en el Salón de la Fama Nacional de Inventores en 2014.
LavaMoat lanza la mitigación de ataques de confusión de binarios bajo una bandera experimental
LavaMoat lanzó @lavamoat/allow-scripts con la bandera --experimental-bins, ofreciendo protección contra los ataques de confusión de scripts bin de npm tanto para proyectos npm como Yarn 1. La mitigación protege contra paquetes maliciosos que secuestran comandos CLI legítimos a través del comportamiento de enlace del campo bin de npm.
Endo avanza en su bundler compartment-mapper con soporte para CommonJS
El trabajo de bundling se intensificó en el proyecto Endo. Una serie de correcciones de compatibilidad acercó el bundler compartment-mapper a ser utilizable en proyectos reales, y una prueba de concepto inicial del soporte para CommonJS superó sus pruebas.
El Grupo de Trabajo de Seguridad de Node.js propone un Modelo de Permisos alineado con LavaMoat
El Grupo de Trabajo de Seguridad de Node.js preparó una primera propuesta para un Modelo de Permisos que complementa su sistema de Políticas existente. El objetivo es similar al de LavaMoat: reducir el acceso al sistema expuesto a código de terceros semifiable. El enfoque propuesto se asemeja al Sistema de Permisos de Deno al configurar el acceso al sistema a nivel de proceso, mientras que LavaMoat permite un aislamiento más granular al configurar el acceso a nivel de paquete dentro de un proceso. Una vez que el Modelo de Permisos de Node.js madure y se publique, debería poder utilizarse junto con LavaMoat para una mayor protección de la cadena de suministro.
El Grupo Lazarus distribuye el malware AppleJeus a través de aplicaciones cripto falsas
Se detectó al Grupo Lazarus de Corea del Norte distribuyendo una nueva variante del malware AppleJeus a través de aplicaciones y sitios web de criptomonedas falsos, donde un usuario desprevenido podría descargar el malware sin darse cuenta. La actividad fue reportada por Volexity y cubierta por The Hacker News el 5 de diciembre de 2022.
Una estafa de ingeniería social roba 14 Bored Apes por un valor de 1,07 millones de dólares
El analista de seguridad Serpent documentó una estafa de ingeniería social de un mes de duración que robó 14 NFT de BAYC por un valor de más de 852 ETH (1,07 millones de dólares) a un único coleccionista, compartiendo el análisis el 17 de diciembre de 2022. La ingeniería social siguió siendo una de las herramientas más efectivas para los actores maliciosos durante el año, con estafas elaboradas como esta que se desarrollaban a lo largo de semanas en lugar de minutos.
El programa de recompensas por errores de HackerOne construye una red de más de 100 investigadores en 2022
A través de su programa de recompensas por errores de HackerOne, MetaMask desarrolló relaciones con más de 100 investigadores únicos que ayudaron a identificar numerosas vulnerabilidades a lo largo del año, contribuyendo a una experiencia más segura para los usuarios. El programa continuó dando la bienvenida a nuevos participantes que buscaban recompensas.
PhishFort detecta 19.571 ataques de phishing con la marca MetaMask en 2022
Durante el año, PhishFort detectó 19.571 ataques utilizando la marca MetaMask y, en los últimos 30 días, logró eliminar con éxito 1.873 campañas. MetaMask también ejecutó iniciativas de bloqueo de phishing conocido tanto en la extensión del navegador como en la aplicación móvil, cubriendo la suplantación de identidad de MetaMask y otras falsificaciones de marcas web3. La lista de bloqueo es propiedad de Consensys/MetaMask y se gestiona y actualiza varias veces al día.
MetaMask y Laconic lanzan la iniciativa antiPhishing MobyMask
MetaMask presentó MobyMask, una nueva iniciativa para proteger proactivamente a los usuarios del phishing que utiliza una red dinámica de confianza para identificar a los reporteros de phishing, desarrollada con la ayuda de Laconic.
El Informe de Seguridad Cripto de MetaMask de diciembre de 2022 cubrió el nuevo malware AppleJeus del Grupo Lazarus distribuido a través de aplicaciones cripto falsas, una estafa de ingeniería social de un mes de duración que robó 14 Bored Apes por un valor de 1,07 millones de dólares, y un resumen de fin de año que abarcó la mitigación de confusión de binarios de LavaMoat, las eliminaciones de phishing de PhishFort y el lanzamiento de la iniciativa antiPhishing MobyMask. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
