Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En julio de 2022, el proyecto LavaMoat lanzó tres herramientas experimentales de defensa para navegadores —Securely, Snow y Across— para contrarrestar la contaminación de prototipos y los ataques JavaScript entre dominios, mientras que el proyecto Endo cerró su hoja de ruta de soporte para CommonJS, que llevaba tiempo en marcha. En cuanto a las amenazas, el investigador de seguridad de MetaMask harry.eth detectó un falso airdrop de $UNI que engañó a 73.399 proveedores de liquidez de Uniswap por aproximadamente 8 millones de dólares, además de una estafa en YouTube que promocionaba falsos bots de frontrunning MEV cuyos contratos Solidity ofuscados vaciaban el ETH depositado. MetaMask también publicó una guía para evitar estafas de NFT en Discord, Twitter y Telegram, y su programa de recompensas por errores en HackerOne continuó aceptando reportes. El análisis completo se encuentra a continuación, pero primero...
Pionero STEM destacado: Ralph Merkle, inventor del hashing criptográfico y los árboles de Merkle
Ralph Merkle co-inventó la criptografía de clave pública junto a Whitfield Diffie y Martin Hellman en la década de 1970, y desarrolló de forma independiente los Puzzles de Merkle siendo estudiante de pregrado en UC Berkeley. Su tesis doctoral de Stanford de 1979 introdujo los árboles de Merkle (árboles hash) y la construcción Merkle-Damgard, que sirve de base para las funciones hash utilizadas en la verificación de blockchain, las firmas digitales y las comprobaciones de integridad en las que se apoya el software de billeteras de autocustodia. Merkle recibió la Medalla IEEE Richard W. Hamming en 2010 y fue incluido en el Salón de la Fama Nacional de Inventores en 2011.
LavaMoat lanza Securely, Snow y Across para la defensa JavaScript a nivel de navegador
El proyecto de código abierto LavaMoat de MetaMask lanzó 3 herramientas experimentales diseñadas para proteger las aplicaciones basadas en navegador contra ataques a la cadena de suministro de JavaScript:
Securely preserva el acceso exclusivo a las APIs nativas del navegador (como fetch) incluso si código de terceros que se ejecuta en el mismo contexto de ejecución las ha manipulado mediante contaminación de prototipos o técnicas de man-in-the-browser (MITB). Snow intercepta cada iframe o realm recién creado dentro de una aplicación web y aplica la misma política de seguridad que se aplica en la ventana de nivel superior, cerrando una técnica habitual de los atacantes que consiste en generar nuevos iframes para obtener referencias de API sin manipular. Snow está construido sobre Securely. Across establece un canal de comunicación seguro entre dos scripts vinculados al mismo DOM, identificados por su URL de origen, sin necesidad de un intermediario del lado del servidor. Across utiliza tanto Securely como Snow para proteger el canal.
Las tres herramientas se lanzaron como experimentales. Hay demos disponibles para Securely, Snow y Across.
Endo cierra la hoja de ruta de soporte para CommonJS con correcciones finales
El proyecto Endo integró las correcciones finales para el soporte de módulos CommonJS y cerró el issue de seguimiento del soporte CommonJS (endojs/endo #1055) que había estado abierto desde principios de 2022. El trabajo en curso sobre la especificación de módulos TC39 planteó interrogantes sobre si los cargadores de módulos virtualizados deberían admitir la importación de módulos CommonJS con requisitos específicos de getter y setter. Una mayor investigación en esta área podría motivar cambios adicionales en el soporte CommonJS de Endo o posicionarlo como arte previo para la especificación.
Falso airdrop de $UNI engaña a 73.399 direcciones de LP de Uniswap
El 11 de julio de 2022, nuestro investigador de seguridad harry.eth detectó una campaña de phishing que envió un token malicioso a 73.399 direcciones que habían proporcionado liquidez en Uniswap, haciéndose pasar por un airdrop de $UNI. El ataque se originó desde la dirección 0xcf39b7793512f03f2893c16459fd72e65d2ed00c y comenzó aproximadamente dos horas antes de ser detectado. Los usuarios que interactuaron con el token fueron instados a firmar una transacción setApprovalForAll(), lo que otorgó al atacante acceso para vaciar sus posiciones de LP. La campaña finalmente extrajo aproximadamente 8 millones de dólares de las víctimas. La vulnerabilidad no estaba en el protocolo de Uniswap en sí.
Tutoriales de bots de frontrunning MEV en YouTube utilizados para robar criptomonedas
En julio de 2022, nuestro investigador de seguridad harry.eth también detectó un tutorial fraudulento que circulaba en YouTube con 97.000 visualizaciones en un canal con 26.400 suscriptores. Los videos, generalmente titulados "Cómo ganar $XXX/día en Uniswap", instruían a los usuarios a desplegar un contrato Solidity descrito como un bot de frontrunning MEV. El contrato desplegado contenía código ofuscado que, una vez financiado, transfería el ETH depositado directamente a la billetera del atacante. La estafa aprovechó la terminología legítima de MEV para parecer creíble.
MetaMask publica una guía para evitar estafas de NFT
Publicamos un artículo de soporte sobre cómo evitar estafas de NFT, que cubre los vectores de ataque más comunes en Discord, Twitter y Telegram, donde los estafadores explotan los canales de la comunidad NFT para engañar a los holders. El artículo aborda enlaces de mint maliciosos, anuncios falsos de airdrops, cuentas de administradores de comunidad comprometidas e ingeniería social a través de mensajes directos. Las recomendaciones clave incluyen verificar las URLs en los sitios oficiales del proyecto, desactivar los mensajes directos en los Discords de la comunidad y tratar los NFT inesperados en una billetera como posibles vectores de phishing.
Actualización del programa de recompensas por errores en HackerOne
Nuestro programa de recompensas por errores en HackerOne continuó aceptando reportes sobre la Extensión MetaMask (repositorio de GitHub) y MetaMask Mobile (repositorio de GitHub).
El Informe de Seguridad Cripto de MetaMask de julio de 2022 cubrió el lanzamiento por parte de LavaMoat de tres herramientas experimentales de defensa para navegadores —Securely, Snow y Across— dirigidas a la contaminación de prototipos y los ataques JavaScript entre dominios, un falso airdrop de $UNI que engañó a más de 73.000 direcciones de LP de Uniswap por aproximadamente 8 millones de dólares, y estafas de tutoriales de bots MEV en YouTube que utilizaban contratos Solidity ofuscados para vaciar el ETH depositado. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
