Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En enero de 2023, LavaMoat de MetaMask amplió su caja de herramientas de seguridad: introdujo LavaTube para el análisis recursivo de grafos de objetos, añadió un explorador de dependencias en VR, incorporó el "global scuttling" en la rama de desarrollo de la extensión MetaMask y lanzó compatibilidad entre navegadores para Snow. Por su parte, Endo llevó su soporte de políticas al estilo LavaMoat a revisión final. En cuanto a las amenazas, las estafas de envenenamiento de direcciones ganaron terreno al sembrar en el historial de transacciones de las víctimas direcciones de apariencia idéntica; investigadores de seguridad pusieron el foco en la reentrada de solo lectura como un nuevo vector de ataque en DeFi, y circularon advertencias sobre troyanos de acceso remoto ocultos en descargas falsas de videojuegos y sobre una vulnerabilidad de Chrome explotada a través de sitios falsos de wallets. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Joan Clarke, criptoanalista de Bletchley Park y practicante del método Banburismus
Joan Clarke (1917–1996) fue la única mujer conocida en practicar el Banburismus, el proceso criptoanalítico bayesiano secuencial desarrollado por Alan Turing para reducir la carga de trabajo de las máquinas de descifrado Enigma en Bletchley Park durante la Segunda Guerra Mundial. La capacidad de Clarke para detectar patrones estadísticos sutiles en datos aparentemente aleatorios guarda un paralelismo con el desafío al que se enfrentan los usuarios de wallets de autocustodia, quienes deben distinguir direcciones legítimas de falsificaciones casi idénticas en los ataques de envenenamiento de direcciones. Clarke recibió una MBE en 1946 por sus contribuciones a la inteligencia en tiempos de guerra.
Las estafas de envenenamiento de direcciones utilizan wallets de apariencia idéntica para engañar a los usuarios
El envenenamiento de direcciones ganó terreno como técnica de estafa a comienzos de 2023. Los atacantes generan direcciones de wallet que comparten los mismos primeros y últimos caracteres que los contactos legítimos de un objetivo, y luego envían transferencias de tokens con valor cero o insignificante a dicho objetivo. Estas transacciones aparecen en el historial de transacciones de la víctima y, cuando esta copia posteriormente una dirección de ese historial —confiando en que los primeros y últimos caracteres coincidan en lugar de verificar la cadena completa—, envía fondos al atacante sin saberlo. La estafa aprovecha la imposibilidad práctica de memorizar direcciones hexadecimales completas de 42 caracteres y el hábito habitual de verificar solo los prefijos y sufijos de las direcciones.
Nota del editor: MetaMask Address Poisoning Detection ya está disponible para todos los usuarios.
La reentrada de solo lectura emerge como vector de ataque en DeFi dirigido a oráculos de precios
La reentrada de solo lectura —una variante del clásico ataque de reentrada— atrajo mayor atención entre los desarrolladores de Solidity en enero de 2023. A diferencia de la reentrada tradicional, que apunta a funciones que modifican el estado, la reentrada de solo lectura explota funciones de vista que reportan precios o saldos. Durante una ventana de callback dentro de una transacción que modifica el estado, un atacante activa una lectura en una función de vista que devuelve datos obsoletos o inconsistentes; los protocolos que dependen de esos valores para oráculos de precios o cálculos de colateral actúan entonces sobre precios manipulados. El investigador de seguridad bytes032 publicó un hilo ampliamente compartido el 20 de enero de 2023 en el que desglosaba la vulnerabilidad, publicado a través del recién formado Web3Security DAO.
LavaTube ofrece recorrido recursivo de grafos de objetos JavaScript para investigación de seguridad
LavaMoat introdujo @lavamoat/lavatube, una herramienta que visita de forma recursiva cada propiedad de cada valor accesible desde una referencia de inicio dada en un grafo de objetos JavaScript. El equipo de investigación de seguridad de MetaMask utiliza LavaTube para identificar fugas de referencias peligrosas: casos en los que objetos o APIs destinados a estar aislados exponen inadvertidamente rutas hacia globales poderosos o datos sensibles en las aplicaciones que protegen.
LavaMoat lanza el explorador de dependencias en VR, el global scuttling y Snow para múltiples navegadores
@lavamoat/viz incorporó un nuevo modo VR que permite a los desarrolladores explorar el grafo de dependencias de su proyecto en un entorno tridimensional inmersivo. Por otro lado, el global scuttling —que elimina las funciones integradas poderosas de la ventana después de que LavaMoat las captura para la dotación basada en políticas— fue introducido en la rama de desarrollo de la extensión MetaMask. Una vez implementado, incluso un componente React malicioso que acceda a la ventana encontrará que las funciones poderosas ya han sido eliminadas. @lavamoat/snow, la herramienta de seguridad de realm de LavaMoat, también añadió compatibilidad con todos los principales navegadores en su última versión, otorgando a MetaMask visibilidad completa sobre todos los realms tanto en Chrome como en Firefox.
Endo se acerca al soporte de políticas al estilo LavaMoat con un bundler seguro en revisión
El proyecto Endo alcanzó la revisión final de su primera iteración del soporte de políticas al estilo LavaMoat. Quedaban funcionalidades menores para lograr plena paridad con las políticas de LavaMoat, pero no se planeaban cambios disruptivos. También estaba en revisión una implementación temprana de un bundler seguro que controla los alcances sin depender de eval, eliminando así una superficie de ataque habitual en los sistemas de módulos JavaScript.
Se advierte sobre descargas falsas de videojuegos como vector de troyanos de acceso remoto
El 17 de enero de 2023, el investigador de seguridad de MetaMask harry.eth (@sniko_) advirtió sobre un resurgimiento anticipado de troyanos de acceso remoto (RATs) distribuidos a través de descargas falsas de videojuegos. El patrón de ingeniería social consiste en que un atacante se hace pasar por representante de un proyecto de juego en el metaverso y ofrece tokens gratuitos a cambio de "probar" un cliente de juego que en realidad es un instalador de RAT. Una vez instalado, un RAT puede otorgar al atacante acceso remoto completo al dispositivo de la víctima, lo que generalmente va seguido de phishing en DeFi para vaciar los tokens.
Wallet Guard detecta una vulnerabilidad de Chrome explotada a través de sitios falsos de descarga de wallets
Wallet Guard advirtió a los usuarios que tuvieran cuidado con las descargas tras documentar una vulnerabilidad de Google Chrome que podría utilizarse para robar datos de wallets de criptomonedas. La falla, corregida el 29 de noviembre de 2022 en Chrome 108, requería que la víctima visitara un sitio web falso de wallet cripto y "descargara" su Frase de Recuperación Secreta, tras lo cual el atacante podía abusar de archivos de enlace simbólico. La recomendación principal: no descargues archivos aleatorios de fuentes no confiables.
El Informe de Seguridad Cripto de MetaMask de enero de 2023 abordó las estafas de envenenamiento de direcciones que siembran historiales de transacciones con direcciones de apariencia idéntica, la reentrada de solo lectura como un vector de ataque diferenciado en DeFi, y la introducción por parte de LavaMoat de LavaTube para detectar fugas de referencias peligrosas en grafos de objetos JavaScript. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
