Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En julio de 2023, el equipo de seguridad de MetaMask presentó Menpo, un estándar STIX 2.1 para catalogar incidentes DeFi, en el DeFi Security Summit. Gal Weizman completó una serie de tres partes en X sobre cómo el scuttling y Snow de LavaMoat refuerzan la seguridad de la cadena de suministro, y LavaMoat avanzó en su plugin webpack ScorchWrap y en el trabajo relacionado con EIP-4361. En cuanto a las amenazas, el informe de este mes también reveló estafas de pig butchering (shāz hū pán) y de minería falsa que abusan de las aprobaciones de tokens, una nueva estafa de aprobaciones falsas que utiliza gas tokens enviados por airdrop, y una campaña de ingeniería social del Grupo Lazarus que distribuye malware npm dirigido a desarrolladores de cripto y seguridad. El análisis completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Josephine Jue, matemática de la NASA y tecnóloga aeroespacial
Josephine Jue fue matemática y tecnóloga aeroespacial en la NASA, recordada como una de sus "figuras ocultas" y entre las primeras mujeres asiático-americanas en trabajar como programadora en el Centro de Naves Espaciales Tripuladas de la NASA, donde contribuyó al software del programa Apolo. La precisión y fiabilidad que su trabajo exigía al software crítico de misión en sus inicios es el mismo estándar del que dependen hoy en día los sistemas de confianza.
MetaMask presenta Menpo, una base de datos de incidentes DeFi con estándar STIX 2.1, en el DeFi Security Summit
En el DeFi Security Summit 2023, Herman Junge presentó Menpo, un proyecto que el equipo de seguridad de MetaMask está desarrollando para estandarizar el catalogado de incidentes DeFi utilizando STIX 2.1. La iniciativa, concebida por Junge, promueve la colaboración entre organizaciones de analistas e investigadores de seguridad para enriquecer el panorama compartido de inteligencia sobre amenazas.
Gal Weizman completa una serie de tres partes en X sobre el scuttling y Snow de LavaMoat
Continuando el hilo del blog del mes anterior, Gal Weizman completó su serie de tres partes en X en la que explica cómo el scuttling y Snow de LavaMoat refuerzan la seguridad de la cadena de suministro de MetaMask, y cómo pueden hacer lo mismo para otras aplicaciones. El scuttling hace que el objeto window de la aplicación sea prácticamente inutilizable para el código inyectado, cerrando una vía habitual para los ataques basados en el navegador.
LavaMoat actualiza ScorchWrap, prueba Snow con CSP y contribuye a EIP-4361
El plugin webpack ScorchWrap ahora utiliza @lavamoat/aa para identificar paquetes en las dependencias y aplicar políticas al importarlos, aunque se requiere trabajo adicional en los builtins emulados por webpack, como buffer y crypto. El equipo también intentó dar soporte a Snow con recomendaciones de Content Security Policy, pero encontró que CSP en iframe srcdoc era insuficiente; los próximos pasos incluyen limitar las APIs del DOM que aceptan entradas de texto para mejorar la seguridad. LavaMoat contribuyó a las conversaciones sobre un manejo más explícito de esquemas en EIP-4361 y propuso un algoritmo de verificación de origen, y finalmente fusionó el hook exitModules en Endo. Por otro lado, Zibi lidera un taller de Codificación Defensiva en el AppSec Village de DefCon.
Estafas de pig butchering (shāz hū pán) de 2022 - 2023 mapeadas en un dashboard de Dune
Las estafas de largo plazo, en las que los actores maliciosos atraen a las víctimas hacia una falsa sensación de seguridad con la promesa de rentabilidades de inversión, están en aumento. Estos esquemas —que frecuentemente incluyen un componente romántico y se originaron en China— se conocen como shāz hū pán, o "matanza del cerdo", porque el perpetrador "engorda" al objetivo antes del "sacrificio". Taylor Monahan, del equipo de seguridad de MetaMask, compiló un dashboard de Dune que, en sus propias palabras, "intenta capturar la magnitud de estas estafas a través de datos concretos extraídos directamente de la blockchain y de las historias de las personas, contadas con sus propias palabras", señalando que "estos estafadores están incorporando a más personas al cripto que cualquier organización legítima del sector. Todo para robarles su dinero."
Las estafas de minería falsa explotan las aprobaciones de tokens, detalladas en un análisis de Consensys
Un artículo del blog de Consensys escrito por Joel Willmore, "Fake 'Mining' Scams: A Familiar Foe in a New Disguise", explica cómo funcionan las estafas de minería de aprobación de USDT y de minería de liquidez, cómo reconocerlas y cómo mantenerse seguro comprendiendo y protegiendo las aprobaciones de tokens. Incluye un dashboard de Dune creado por Harry Denley que rastrea estas estafas. Para una visión más concisa, MetaMask también publicó un artículo de soporte sobre estafas de vales de minería falsos.
Revoke.cash advierte sobre una estafa de aprobaciones falsas que utiliza gas tokens enviados por airdrop
Revoke.cash destacó una nueva estafa de aprobaciones falsas que involucra "gas tokens" enviados por airdrop y que engañan a los usuarios haciéndoles creer que tienen aprobaciones sospechosas que necesitan ser revocadas. Los estafadores programan los tokens falsos para acuñar una gran cantidad de gas tokens durante una transacción de revocación, que luego son enviados a los atacantes para su venta. Dado que el popup de la wallet solo muestra una comisión elevada en lugar de fondos saliendo de la cartera, el robo es fácil de pasar por alto. En respuesta, Revoke.cash añadió una verificación que deshabilita la revocación de aprobaciones cuando la comisión de gas es excesiva, y recomienda ignorar las transacciones inesperadas que conllevan comisiones de gas muy elevadas.
El Grupo Lazarus distribuye malware npm en una campaña de ingeniería social contra desarrolladores
Según Socket, el Grupo Lazarus lanzó una sofisticada campaña de ingeniería social dirigida a desarrolladores de los sectores de criptomonedas y ciberseguridad, utilizando cuentas comprometidas y paquetes npm cargados de malware. El análisis explica cómo funciona la cadena de ataque, cómo protegerse contra ella y enumera los paquetes npm maliciosos conocidos.
Immunefi lista las 10 vulnerabilidades más comunes en web3
Immunefi publicó un resumen de las 10 vulnerabilidades más comunes en web3, que abarca las vulnerabilidades de contratos inteligentes que los desarrolladores y auditores deben vigilar para construir contratos seguros y robustos.
Taylor Monahan comparte consejos de seguridad para wallets: hardware wallets, copias de seguridad en papel y almacenamiento descentralizado
Taylor Monahan compartió consejos prácticos para mantener los fondos seguros al usar una wallet web3: el uso de hardware wallets, la buena práctica de bajo perfil tecnológico de guardar la Frase de Recuperación Secreta en papel, y la descentralización del lugar donde se almacenan los fondos.
Actualización de mitad de año de Chainalysis: el crimen cripto cae un 65% mientras el ransomware aumenta
Chainalysis publicó su actualización de mitad de año sobre crimen cripto, informando que el crimen relacionado con criptomonedas cayó aproximadamente un 65% en general, incluso mientras el ransomware dirigido mostró una tendencia al alza.
El Informe de Seguridad Cripto de MetaMask de julio de 2023 realizó un análisis exhaustivo de las estafas de pig butchering y de minería falsa que abusan de las aprobaciones de tokens, una nueva estafa de aprobaciones falsas que utiliza gas tokens enviados por airdrop, y una campaña de ingeniería social del Grupo Lazarus que distribuye malware npm dirigido a desarrolladores de cripto y seguridad. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
