Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En junio de 2024, Consensys adquirió Wallet Guard para reforzar la detección de estafas y drenadores de MetaMask, mientras que MetaMask actualizó su política de privacidad para ofrecer mayor transparencia y control, y LavaMoat lanzó un nuevo sitio web. La Security Alliance también abrió un fondo de defensa legal para investigadores whitehat. En cuanto a las amenazas, las estafas de empleo vinculadas a grupos APT relacionados con Corea del Norte continuaron apuntando a trabajadores del sector cripto, un usuario perdió 11 millones de dólares a causa de phishing de firmas, una brecha en el proveedor de correo electrónico de CoinGecko envió decenas de miles de correos de phishing, y una extensión maliciosa de Chrome llamada Aggr robó más de 1 millón de dólares al recopilar cookies de exchanges. El análisis completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Ben Barres, neurobiólogo que reveló el papel de las células gliales
Ben Barres (1954–2017) fue un neurobiólogo estadounidense cuya investigación fue fundamental para descubrir cómo las células gliales interactúan con las neuronas en el sistema nervioso, demostrando que las células de "soporte" del cerebro, durante mucho tiempo ignoradas, son en realidad esenciales para su funcionamiento y defensa. También fue el primer científico abiertamente transgénero elegido para la Academia Nacional de Ciencias de EE. UU. y un firme defensor de la equidad en la ciencia. Su trabajo nos recuerda que los sistemas que realizan el trabajo silencioso de protección en segundo plano suelen ser los más importantes.
MetaMask actualiza su política de privacidad para mayor transparencia y control del usuario sobre sus datos
La privacidad y la seguridad van de la mano, y MetaMask se toma muy en serio la privacidad de sus usuarios. Este mes, en el espíritu del consentimiento informado, MetaMask publicó una política actualizada para informar a los usuarios sobre lo que hacemos para mantenerlos seguros y brindarles mayor transparencia y control sobre sus datos personales. Puedes leer nuestro anuncio y el aviso completo, y consultar nuestros recursos de privacidad y seguridad.
MetaMask puede procesar temporalmente tu dirección IP solo cuando sea necesario para algunos de nuestros Servicios (según tu configuración de MetaMask) con el fin de ofrecer la mejor experiencia posible a los usuarios de MetaMask. Esto incluye, por ejemplo, la prevención de ataques DDoS.
No recopilamos tus claves privadas.
No vendemos tu información personal.
No recopilamos ni conservamos información personal a menos que sea necesario para prestarte los Servicios y ofrecerte una excelente experiencia de usuario.
No recopilamos información financiera de pago ni bancaria. Sin embargo, cuando utilizas nuestras funciones de on o offramp, es posible que estos servicios requieran que envíes esta información a proveedores externos.
Consensys adquiere Wallet Guard para mejorar la seguridad de MetaMask
Estamos increíblemente emocionados de que el fantástico equipo de Wallet Guard se una oficialmente a MetaMask, impulsando nuestra misión de ofrecer la experiencia más segura posible a los usuarios. Como se indicó en el anuncio, la integración "mejorará la seguridad de MetaMask al perfeccionar la detección de estafas y drenadores mediante la validación de transacciones y heurísticas del lado del cliente, proporcionando así a los usuarios una protección en tiempo real superior contra aplicaciones descentralizadas maliciosas y estafas, al tiempo que preserva la privacidad y la soberanía individual."
LavaMoat lanza un nuevo sitio web
Todo lo relacionado con LavaMoat ahora se encuentra en lavamoat.github.io, incluyendo un video introductorio sobre cómo el conjunto de herramientas de código abierto protege los proyectos de JavaScript contra ataques a la cadena de suministro. Zbigniew Tenerowicz, de MetaMask, también llevó el taller de Codificación Defensiva que impartió en DEFCON el verano anterior a las conferencias Confidence y X33FCON para difundir el conocimiento sobre LavaMoat.
Estado de la Seguridad: MetaMask y Wallet Guard
La última entrega de la serie Estado de la Seguridad de MetaMask y Wallet Guard contó con la participación de Ryan Jones y Gal Weizman junto a Ohm y Michael para hablar sobre simulaciones de transacciones, interoperabilidad, MetaMask Web y el uso de LavaMoat para protegerse contra ataques a la cadena de suministro, además de los consejos habituales para mantenerse seguro en el mundo cripto.
Las estafas de empleo aumentan, con grupos vinculados a Corea del Norte apuntando a trabajadores del sector cripto
El FBI de EE. UU. publicó un comunicado de alerta pública instando a quienes buscan trabajo desde casa a ser cautelosos. Los empleos en cripto y blockchain no fueron mencionados específicamente, pero los equipos de Inteligencia de Amenazas y Seguridad del Usuario de MetaMask señalan que la comunidad está siendo especialmente atacada. Trata las ofertas de trabajo no solicitadas con extrema desconfianza, nunca hagas clic en enlaces ni abras archivos adjuntos de mensajes de fuentes no confiables, y nunca participes si "te piden realizar pagos en criptomonedas a tu empleador como parte de un trabajo." Un número significativo de estas estafas está vinculado a grupos de amenaza persistente avanzada (APT) que suelen estar patrocinados por estados; como lo expresó sin rodeos un responsable de contratación, zak: "literalmente cada desarrollador que hemos entrevistado recientemente probablemente era norcoreano." Las empresas relacionadas con el sector cripto también deben estar extremadamente atentas al entrevistar a candidatos, ya que esto se ha convertido en un vector de ataque popular. Asegúrate de realizar entrevistas exhaustivas que incluyan información de antecedentes verificada y coherente, y exige que los candidatos estén frente a la cámara.
SEAL lanza un fondo de defensa legal para investigadores whitehat
Los hackers éticos whitehat son un pilar fundamental de nuestra industria. Estos investigadores descubren y divulgan responsablemente las vulnerabilidades antes de que los actores maliciosos puedan explotarlas. Sin embargo, como la Security Alliance (SEAL) explicó recientemente, la historia de la web2 demuestra que "este importante trabajo puede conllevar en ocasiones riesgos legales significativos y los costes asociados, especialmente cuando su investigación y divulgación no son bienvenidas o son malinterpretadas." Por ello, SEAL ha puesto en marcha una iniciativa junto al Security Research Legal Defense Fund para proporcionar recursos legales a los investigadores elegibles que utilicen el Acuerdo de Puerto Seguro Whitehat.
Un usuario pierde 11 millones de dólares a causa de phishing de firmas
Qué ocurrió
El 22 de junio de 2024, un usuario firmó múltiples firmas de phishing de tipo permit, lo que resultó en una pérdida de tokens valorados en 11 millones de dólares. Posteriormente se reveló que la víctima era un delegado de gobernanza de MakerDAO. El investigador de SEAL Pcaversaccio considera que el phishing de firmas es el mayor problema de nuestra industria, señalando que los usuarios no prestan atención a las advertencias y no consideran las consecuencias de firmarlas. Taylor Monahan, de MetaMask, reveló una estimación total de más de 600 millones de dólares en daños causados por estafas de phishing de aprobación desde 2021.
Cómo pueden protegerse los usuarios
Los usuarios pueden protegerse siguiendo tres pasos clave.
Limita los activos de la wallet que utilizas para navegar a diario. Si firmas una firma maliciosa, el impacto será menor.
Verifica el dominio del que proviene la solicitud de firma y comprueba que coincide con el dominio del proyecto original. Una forma rápida de hacerlo es acceder a las redes sociales oficiales o al blog del proyecto y verificar que los dominios de esos perfiles coincidan con la solicitud.
Valida el token y el contenido de las direcciones de la solicitud. La solicitud a menudo involucra un token que no tenías intención de enviar. La dirección del gastador y/o la dirección de la transacción serán diferentes a la dirección que pretendías usar.
Estas sencillas comprobaciones pueden ayudar a prevenir pérdidas de fondos no deseadas.
23.000 correos de phishing tras una brecha en el proveedor de correo electrónico de CoinGecko
Qué ocurrió
CoinGecko, un agregador de datos de criptomonedas, sufrió una brecha de seguridad el 5 de junio de 2024 a través de una cuenta comprometida en su plataforma de email marketing externa, GetResponse. El atacante accedió a casi 2 millones de contactos y envió 23.723 correos de phishing desde la cuenta de otro cliente, exponiendo los nombres, correos electrónicos, direcciones IP y ubicaciones de los usuarios, aunque las cuentas y contraseñas de los usuarios de CoinGecko permanecieron seguras.
Cómo pueden protegerse los usuarios
Los usuarios deben tratar con extrema precaución cualquier correo electrónico relacionado con la reclamación de airdrops o tokens, y evitar hacer clic en enlaces o descargar archivos adjuntos de correos no solicitados. Los proyectos cripto tienen la responsabilidad de ser vigilantes respecto a los controles de seguridad utilizados por los proveedores externos con los que trabajan.
Una extensión maliciosa de Chrome roba más de 1 millón de dólares
Qué ocurrió
Aggr, presentada inicialmente como un agregador de datos de trading, es una extensión de Chrome que resultó ser maliciosa. A principios de junio de 2024, un usuario de Binance reportó una pérdida de 1 millón de dólares que SlowMist rastreó hasta el plugin Aggr. SlowMist descubrió que Aggr recopilaba las cookies de los traders, específicamente las vinculadas a exchanges de criptomonedas, que los atacantes utilizaron para acceder a los portales de exchanges centralizados (CEX) y tomar el control de las cuentas de las víctimas.
Cómo pueden protegerse los usuarios
La lección: sé vigilante con cualquier software que instales, incluidas las extensiones del navegador, e investiga a los desarrolladores; da preferencia a los verificados y de buena reputación frente a cuentas anónimas sin historial, y revisa el historial de la aplicación antes de confiar en ella.
El Informe de Seguridad Cripto de MetaMask de junio de 2024 cubrió la adquisición de Wallet Guard por parte de Consensys, la actualización de la política de privacidad de MetaMask y una serie de amenazas que incluyen una pérdida de 11 millones de dólares por phishing de firmas, una brecha en el proveedor de correo electrónico de CoinGecko y una extensión maliciosa de Chrome llamada Aggr que robó más de 1 millón de dólares. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
