Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
Febrero de 2024 fue un mes repleto de actualizaciones de seguridad para MetaMask. Las alertas de seguridad impulsadas por Blockaid se activaron de forma predeterminada en múltiples redes Ethereum, y añadimos una defensa en profundidad con LavaDome a nuestra herramienta de código abierto LavaMoat, que protege contra ataques a la cadena de suministro. A nivel más amplio en el ecosistema, la Security Alliance (SEAL), que alberga SEAL 911 y un nuevo Acuerdo de Puerto Seguro para Whitehats, se lanzó públicamente. En cuanto a las amenazas, unos drainers secuestraron la cuenta X de MicroStrategy en un robo de phishing de $440,000, y los investigadores vincularon otros $6.2 millones en robos a la brecha de LastPass de 2022. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Granville T. Woods, inventor del telégrafo de inducción
Granville T. Woods (1856–1910) fue un prolífico inventor estadounidense e ingeniero eléctrico que obtuvo casi 60 patentes, siendo la más famosa el Telégrafo Ferroviario Múltiplex Sincrónico —un telégrafo de inducción que permitía la comunicación entre trenes en movimiento y estaciones, mejorando drásticamente la seguridad ferroviaria. Conocido frecuentemente como "el Edison Negro", Woods construyó sistemas en los que la comunicación fiable era en sí misma un mecanismo de seguridad, el mismo principio que sustenta la infraestructura segura y confiable de hoy.
MetaMask activa las alertas de seguridad de Blockaid de forma predeterminada en múltiples redes
MetaMask integró alertas de seguridad impulsadas por Blockaid en la wallet y las activó automáticamente en varias redes de la Máquina Virtual de Ethereum (EVM), abordando el creciente problema de las transacciones maliciosas. Las nuevas alertas de seguridad brindan a millones de usuarios de MetaMask protección adicional contra los ataques de phishing cripto, que ganaron protagonismo durante 2023. Piensa en las alertas impulsadas por Blockaid como una herramienta más para proteger a los usuarios contra estafas, que funciona mejor junto con hábitos de seguridad fundamentales. Añaden una capa real contra transacciones maliciosas, y combinarlas con Security Snaps muestra detalles de transacciones que MetaMask no muestra de forma nativa. Aun así, ninguna herramienta automatizada detiene la ingeniería social, por lo que lo más importante sigue siendo lo básico: desde no instalar software no verificado hasta mantenerse alerta ante suplantadores de soporte al cliente en tus mensajes directos, ser escéptico ante perfiles en línea demasiado atractivos, y nunca compartir tu Clave Privada o Frase de Recuperación Secreta con ningún sitio web ni con nadie en línea.
Más formas de autocustodia, desde la Frase de Recuperación Secreta hasta los Account Management Snaps
La autocustodia es la decisión de mantener tus propias claves en lugar de entregarlas a un tercero, y pone la seguridad de tus fondos en tus manos. Esa responsabilidad es real: la Frase de Recuperación Secreta de 12 palabras que históricamente se necesitaba para crear una wallet de MetaMask puede ser difícil de mantener tanto secreta como segura. Por eso MetaMask está ampliando las formas en que puedes gestionar cuentas manteniéndote en autocustodia. Introdujo los Account Management Snaps, una vía sin permisos para que los equipos que desarrollan estas soluciones las entreguen a los usuarios de MetaMask, y en febrero de 2024 lanzó la Keyring API en la Extensión de MetaMask para que los desarrolladores puedan implementar sus propios conceptos de gestión de cuentas. Se invita a los usuarios a probar los primeros tres snaps en la beta experimental: Silent Shard, Safeheron y Capsule, con comentarios bienvenidos a través de la página de feedback.
Presentamos LavaMoat LavaDome para una defensa en profundidad del contenido crítico
LavaDome es la herramienta experimental más reciente del conjunto de herramientas LavaMoat para la seguridad de la cadena de suministro. Utilizando la API web Shadow DOM, puede implementar componentes exclusivamente de frontend que permiten interacciones solo con el usuario y el código de confianza, bloqueando los intentos de acceso por parte de JavaScript y CSS no confiables. El objetivo es la defensa en profundidad: proteger el contenido más crítico mostrado en las aplicaciones protegidas por LavaMoat incluso si todas las demás protecciones han sido vulneradas.
La Security Alliance (SEAL) se revela públicamente
La Security Alliance (SEAL), un esfuerzo conjunto de la comunidad de ciberseguridad para mejorar la seguridad en todo el ecosistema cripto, se lanzó públicamente el 14 de febrero de 2024. Había estado operando discretamente, liderando iniciativas como SEAL 911 (un servicio de respuesta rápida atendido por los principales expertos en seguridad) y SEAL Drills (entrenamiento de simulación de ataques). SEAL también anunció su Acuerdo de Puerto Seguro para Whitehats, un marco para hackers éticos y bots de Valor Máximo Extraíble (MEV) que intervienen en incidentes de seguridad públicos activos, permitiéndoles abordar exploits de forma preventiva siempre que un ataque esté en curso y los fondos recuperados sean redirigidos a una ubicación específica. Como anunció el cofundador de SEAL, samczsun, el grupo había estado trabajando en estas iniciativas de seguridad de forma privada durante aproximadamente un año y medio antes de su debut público.
Drainers explotan la cuenta X de MicroStrategy en un robo de phishing de $440,000
La cuenta oficial X de MicroStrategy fue hackeada el 26 de febrero de 2024 para promocionar un falso airdrop del token MSTR basado en Ethereum, con PeckShield alertando a los usuarios sobre el enlace de phishing. El incidente resultó en aproximadamente $440,000 en fondos robados, la mayor parte de los cuales provino supuestamente de una sola víctima. El atacante comenzó a mover los fondos dejando aproximadamente $195,000 en Ethereum en su dirección. El drainer no ha sido identificado al momento de redactar este artículo, aunque muchos investigadores comenzaron a atribuirlo a Pink Drainer.
Al igual que con el anterior hackeo de la cuenta X de Vitalik Buterin, incluso las cuentas de redes sociales de confianza pueden verse comprometidas. Recuerda siempre hacer una pausa antes de hacer clic en un enlace o firmar una transacción, mantener fondos importantes en una hardware wallet, y usar diferentes tipos de cuentas y wallets según los distintos niveles de riesgo.
Nuevas víctimas de LastPass pierden $6.2 millones mientras continúan los robos
En el último robo vinculado al ataque a LastPass, más de 22 víctimas perdieron un total de $6.2 millones entre el 19 y el 20 de febrero de 2024, con los fondos robados trasladados rápidamente desde redes EVM a Bitcoin. Para facilitar el rastreo y la atribución, ZachXBT y Taylor Monahan documentaron las direcciones on-chain que utilizó el atacante en un informe de Chainabuse. Ese registro público marca las wallets que contienen fondos robados para que exchanges, wallets y otros servicios puedan monitorearlas, congelarlas o bloquearlas, y advertir a posibles víctimas antes de que interactúen con las cuentas del atacante.
Desde la brecha original de LastPass, miembros de la comunidad —fundadores de protocolos, inversores, desarrolladores y usuarios que almacenaron sus Frases de Recuperación Secretas en LastPass— han perdido más de $10 millones. Cualquier persona que haya utilizado LastPass antes del hackeo de diciembre de 2022 debería considerar sus claves almacenadas en riesgo, transferir los saldos a una nueva wallet y mover los fondos importantes a hardware wallets verificadas para un almacenamiento seguro sin conexión.
El Informe de Seguridad Cripto de MetaMask de febrero de 2024 cubrió la activación predeterminada de las alertas de seguridad impulsadas por Blockaid en múltiples redes, el lanzamiento de los Account Management Snaps y la Keyring API, y la revelación pública de la Security Alliance (SEAL), junto con el hackeo de la cuenta X de MicroStrategy por $440,000 y $6.2 millones en robos continuos vinculados a LastPass. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
