Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En junio de 2022, los proyectos Endo y LavaMoat incorporaron compatibilidad con import.meta, require.resolve y Yarn 3 para reforzar el pipeline de compilación, mientras que el programa de recompensas por errores de MetaMask se lanzó en HackerOne. En cuanto a métricas, el Equipo de Respuesta a Incidentes Informáticos cerró 38 tickets durante el primer semestre de 2022 con un tiempo medio de reparación de 40,39 días, y MetaMask deprecó los métodos de API eth_decrypt y eth_getEncryptionPublicKey por motivos criptográficos. Dos divulgaciones protagonizaron el mes: Halborn recibió $50,000 por descubrir "Demonic" (CVE-2022-32969), una vulnerabilidad de cifrado de disco que podía dejar una Frase de Recuperación Secreta almacenada en texto plano en una unidad sin cifrar, y el United Global Whitehat Security Team se llevó una recompensa de $120,000 por una falla crítica de clickjacking en la Extensión. El desglose completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Whitfield Diffie, coinventor de la criptografía de clave pública
Whitfield Diffie, junto con Martin Hellman y Ralph Merkle, publicó "New Directions in Cryptography" en noviembre de 1976, introduciendo el protocolo de intercambio de claves Diffie-Hellman, que hizo posible la comunicación segura sin necesidad de un secreto compartido previamente. El protocolo es la base de TLS, SSH y los canales cifrados en los que los usuarios de billeteras de autocustodia confían cada día. Diffie recibió el Premio Turing de la ACM en 2015 y fue incluido en el Salón de la Fama de Inventores Nacionales en 2011.
Vulnerabilidad de clickjacking le vale a UGWST una recompensa de $120,000
MetaMask otorgó una recompensa de $120,000 al United Global Whitehat Security Team (UGWST) por divulgar de manera responsable una vulnerabilidad crítica de clickjacking en la Extensión de MetaMask. El ataque renderizaba la interfaz de la extensión como un iframe invisible superpuesto sobre un sitio web malicioso, engañando a los usuarios para que aprobaran transacciones y revelaran datos privados sin darse cuenta. No se registró ninguna explotación conocida antes del parche. Los usuarios que ejecutan la versión 10.14.6 o posterior de la Extensión de MetaMask están protegidos.
La divulgación "Demonic" de Halborn revela un riesgo de cifrado de disco para billeteras de navegador
Los investigadores de seguridad de Halborn divulgaron CVE-2022-32969, con el nombre en clave "Demonic", una vulnerabilidad en la que una Frase de Recuperación Secreta ingresada durante la importación podía quedar almacenada en disco en texto plano mediante el mecanismo de restauración de sesión del navegador. El riesgo se presentaba cuando se cumplían tres condiciones: el disco duro no estaba cifrado, la Frase de Recuperación Secreta se importó en un dispositivo comprometido o no confiable, y la casilla "Mostrar Frase de Recuperación Secreta" fue activada durante la importación. MetaMask implementó medidas de mitigación en la versión 10.11.3 y posteriores de la Extensión. MetaMask Mobile no se vio afectado. Halborn recibió $50,000 por el descubrimiento.
El equipo de respuesta a incidentes de MetaMask cierra 38 tickets en el primer semestre de 2022 con un MTTR de 40,39 días
El Equipo de Respuesta a Incidentes Informáticos (CIRT) de MetaMask cerró 38 tickets durante el primer semestre de 2022. Los reportes externos representaron la mayoría, más del doble del total combinado proveniente de auditorías y fuentes internas. Por asignación, el equipo de la Extensión gestionó la mayor parte, seguido por los problemas de Seguridad (entre productos) y Mobile. De los 38 tickets, 13 tenían una puntuación CVSS: 1 Crítico —la vulnerabilidad de clickjacking con recompensa— 9 Medios y 3 Bajos. Los tickets enviados por reportes externos se resolvieron más rápido, con 28,53 días por incidente. El Tiempo Medio de Reparación general fue de 40,39 días.
eth_decrypt y eth_getEncryptionPublicKey deprecados por motivos criptográficos
MetaMask deprecó los métodos de API eth_decrypt y eth_getEncryptionPublicKey. Ambos métodos, desarrollados conforme al EIP-1024 (posteriormente abandonado), reutilizan la misma clave privada en diferentes curvas elípticas para firma y cifrado, una práctica que abre vectores de ataque adicionales. No se conocen exploits, pero se determinó que el diseño no era suficientemente seguro para seguir siendo promovido. Los métodos siguen siendo funcionales para dar tiempo a los integradores de terceros a migrar.
Compatibilidad con import.meta y require.resolve de Endo completada
El proyecto Endo incorporó compatibilidad con import.meta para Compartments, lo que requirió ajustes en el plugin de Babel en static-module-record para garantizar que los nodos import.meta sean visitados y transformados incluso dentro de definiciones de exportación ya transformadas. Un PR de seguimiento que añade compatibilidad con import.meta.url a compartment-mapper (endojs/endo #1202) incorporó compatibilidad con import.meta.url a la funcionalidad importLocation de compartment-mapper (no disponible en Archives). Por otro lado, la función require.resolve fue añadida a la implementación de CommonJS, lanzando un error por defecto pero aceptando una implementación personalizada a través de ReadPowers. Estos cambios completaron la hoja de ruta de compatibilidad con CJS planificada.
LavaMoat añade compatibilidad con Yarn 3 y denegaciones de política explícitas
LavaMoat incorporó compatibilidad con Yarn 3 para allow-scripts, añadiendo un plugin para gestionar la configuración de yarn en checkouts nuevos de proyectos protegidos. Una segunda actualización introdujo valores false explícitos en policy-overrides.json, permitiendo a los proyectos denegar dotaciones específicas y evitar la sobreexposición de campos de objetos durante las fusiones de políticas.
Lanzamiento del programa de recompensas por errores en HackerOne
MetaMask lanzó su programa de recompensas por errores en HackerOne en junio de 2022, cubriendo el repositorio de GitHub de MetaMask Extension y el repositorio de GitHub de MetaMask Mobile.
El Informe de Seguridad Cripto de MetaMask de junio de 2022 cubrió la recompensa de $120,000 por clickjacking otorgada a UGWST, la divulgación de la vulnerabilidad de cifrado de disco "Demonic" de Halborn que afecta a las billeteras de navegador, y la deprecación por parte de MetaMask de eth_decrypt y eth_getEncryptionPublicKey por motivos criptográficos. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
