Cada mes, Luker, Director de Seguridad de MetaMask, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
Este mes, nuestro equipo se unió a Wallet Guard para un Twitter Space sobre el Estado de la Seguridad en el ecosistema cripto, y Harry Denley de Consensys compartió las mejores prácticas de seguridad en contratos inteligentes. Gal Weizman y Zbigniew Tenerowicz explicaron cómo el "scuttling" y el sandboxing de LavaMoat defienden contra los ataques a la cadena de suministro de JavaScript, y Herman Junge presentó Menpo, una nueva base de datos de incidentes DeFi, antes de la DeFi Security Summit. También recopilamos recursos de aprendizaje, desde DeFiHackLabs hasta el OWASP API Security Top 10. El desglose completo está a continuación, pero primero...
Pionera STEM destacada: Bruce Voeller, biólogo e investigador del SIDA
Bruce Voeller (1934–1994) fue un biólogo estadounidense y activista por los derechos de la comunidad gay, ampliamente reconocido por acuñar el término "SIDA". Fundó la Mariposa Education and Research Foundation, donde estudió la transmisión del VIH y la efectividad de las medidas de protección. La insistencia de Voeller en una investigación rigurosa y basada en evidencia para proteger a las personas en riesgo refleja el mismo estándar que exige un trabajo de seguridad sólido: poner a prueba los supuestos y luego actuar en función de los datos.
Nuestro equipo se unió a Wallet Guard para el State of Security: MetaMask x Wallet Guard Twitter Space, liderado por Taylor Monahan, para una profunda discusión sobre seguridad cripto. La conversación abarcó la evolución de las amenazas, la importancia del código abierto y el incidente de Atomic Wallet, entre otros temas. Ofreció a los oyentes una mirada sincera y entre bastidores sobre cómo ambos equipos piensan en la protección de los usuarios en un panorama de amenazas en constante cambio.
Harry Denley de MetaMask Security comparte las mejores prácticas de seguridad en contratos inteligentes
En una edición de Coffee With Calyptus, Harry Denley, experto en seguridad de Consensys, compartió las mejores prácticas de seguridad para contratos inteligentes y destacó dos proyectos de MetaMask: MetaMask Snaps, que amplía las capacidades de MetaMask en un entorno seguro, y LavaMoat, que proporciona protecciones en tiempo de ejecución dentro del ecosistema JavaScript. Denley enfatizó la importancia de equilibrar la seguridad con la funcionalidad: dado que los contratos inteligentes son inmutables, la seguridad debe priorizarse y cualquier funcionalidad añadida debe probarse rigurosamente, con un aumento gradual del valor bloqueado en un nuevo contrato como una forma de proteger a los usuarios. Sus prácticas recomendadas incluyeron principios de diseño seguro, bibliotecas de confianza como OpenZeppelin, una mentalidad de desarrollo orientada a la seguridad, pruebas exhaustivas, revisiones de código profesionales y formación continua sobre riesgos emergentes.
Herman Junge presentará Menpo, una base de datos de incidentes DeFi con STIX 2.1, en la DeFi Security Summit 2023
En la DeFi Security Summit de París el 15 de julio de 2023, Herman Junge presentará Menpo, un proyecto que utiliza STIX 2.1 para estandarizar el registro de incidentes DeFi, según anunció la cumbre. Al proporcionar un léxico compartido para describir incidentes, Menpo fomenta el intercambio de inteligencia sobre amenazas entre organizaciones, lo que permite una asignación más eficiente de los recursos de seguridad y el intercambio en tiempo real de informes de incidentes a medida que se desarrollan.
La charla de Zbigniew Tenerowicz sobre la defensa de la cadena de suministro de JavaScript
En una charla en DevSecConf24, Zbigniew Tenerowicz (ZB) abordó la difícil pregunta de si ejecutar o no código de desconocidos. A pesar de los riesgos inherentes, reconoció que es una práctica habitual en el mundo tecnológico. Exploró el ámbito de los proyectos JavaScript, examinando en particular cómo pueden protegerse de forma proactiva contra los ataques a la cadena de suministro. Esta defensa proactiva se analizó bajo el supuesto de que una dependencia descargada ya incluye una dependencia maliciosa. ZB sugirió métodos como restringir el acceso a las variables globales para cada paquete y controlar la capacidad de un paquete para acceder a la red o al sistema de archivos.
Además, abordó el importante problema de erradicar la contaminación de prototipos, una vulnerabilidad común en los proyectos JavaScript. ZB también dirigió su atención hacia las futuras funcionalidades de JavaScript, en particular las que actualmente se debaten en TC39. Demostró cómo estas funcionalidades emergentes pueden aprovecharse para proteger los proyectos en el presente. Para ofrecer una comprensión más práctica, ZB realizó una atractiva demostración en vivo, mostrando cómo ejecutar malware real de forma segura, enfatizando así la importancia y la efectividad de las medidas defensivas analizadas.
Gal Weizman explica la función "scuttling" de LavaMoat
Gal Weizman explicó el "scuttling" de LavaMoat en términos sencillos. Las aplicaciones dependen de grandes cantidades de código de terceros, y cualquier parte podría volverse maliciosa. LavaMoat aísla cada dependencia con SES para que solo obtenga lo que necesita. Pero si una escapa y accede al objeto global window —donde se encuentran las APIs más potentes— eso representa un problema. El scuttling elimina esas APIs de window, de modo que una dependencia que escape se encuentre con un callejón sin salida. La aplicación sigue funcionando; el atacante, no.
Actualización de LavaMoat: charla en React Summit, avances en React Native mobile, Snow y ScorchWrap
Más allá de la charla en DevSecConf24, el 5 de julio de 2023 estuvo disponible un vídeo sobre el mismo tema de React Summit 2023 en Git Nation, también presentado por Zbyszek. En el lado móvil, un análisis en profundidad del código de animación nativa de React Native iOS (tras una investigación previa) rastreó los fallos de las macros de aserción en nodos padre e hijo hasta los fallos de carga de páginas WebView durante la navegación, vinculados en última instancia a la exclusión del polyfill global Promise de React Native en favor de las Promises nativas de JSC —actualmente necesario para arrancar un MetaMask mobile bloqueado con una vista raíz poblada. Los próximos pasos incluyen corregir las pruebas de humo end-to-end de Detox en iOS y luego dar soporte a Android mediante Appium. Por otro lado, Snow recibió actualizaciones que corrigen más posibles vulnerabilidades, y la parte específica de webpack del plugin webpack ScorchWrap se está estabilizando, allanando el camino para comenzar a integrar las funcionalidades de LavaMoat.
Recursos de aprendizaje: DeFiHackLabs, vectores de ataque a NFT y el OWASP API Top 10
Aunque los NFT se han vuelto cada vez más populares, no hay mucha información clara y fácil de entender disponible sobre ellos, lo que los convierte en un objetivo frecuente para estafadores y hackers. Este informe destacó varios recursos de aprendizaje. SunWeb3Sec/DeFiHackLabs reproduce incidentes de hackeos DeFi utilizando Foundry —233 incidentes hasta la fecha— junto con un análisis de las causas raíz de los incidentes y un repositorio complementario para aprender sobre vulnerabilidades comunes en contratos inteligentes. Quillhash/NFT-Attack-Vectors, mantenido por QuillAudits, cataloga los métodos más comunes utilizados para explotar NFT. Y el OWASP API Security Top 10 para 2023 enumera los riesgos de API contra los que los desarrolladores deben protegerse este año.
El Informe de Seguridad Cripto de MetaMask de junio de 2023 cubrió el inaugural Twitter Space sobre el Estado de la Seguridad de MetaMask y Wallet Guard, las mejores prácticas de seguridad en contratos inteligentes de Harry Denley en Coffee With Calyptus, y una explicación de la función "scuttling" de LavaMoat para defenderse contra los ataques a la cadena de suministro de JavaScript. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
