Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En marzo de 2023, los equipos de Endo y LavaMoat reformularon su enfoque para el bundling seguro: detuvieron el experimento con webpack-transform en favor de un webpack loader, extendieron el global scuttling a child realms y reactivaron el soporte de React Native para la app móvil de MetaMask. MetaMask también compartió dos charlas de la temporada EthDenver: el cofundador Dan Finlay sobre Delegatable y el investigador de seguridad Gal Weizman sobre JavaScript realms y Snow. La lección más clara del mes, sin embargo, fue mantenerse alerta ante los airdrops: las estafas se dispararon en torno al claim de Arbitrum, donde aproximadamente 2.400 wallets fueron comprometidas con antelación, los estafadores explotaron una falsa captura de pantalla de airdrop de MetaMask para atraer a usuarios hacia sitios de phishing, y estafas imitadoras apuntaron a Polkadot, Shiba Inu y un token falso de OpenAI. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Faith Lillibridge, operadora del supercomputador NORC de Columbia
Faith Lillibridge aparece fotografiada frente a la consola del NORC (Naval Ordnance Research Calculator) en el quinto piso del Watson Scientific Computing Laboratory de la Universidad de Columbia en 1954. Construido por IBM para la Marina de los EE. UU., el NORC fue, en su inauguración en 1954, el computador más potente del mundo. Los operadores que manejaban aquellas primeras máquinas convirtieron hardware del tamaño de una habitación en cómputo confiable y reproducible: el mismo trabajo disciplinado y meticuloso que sigue siendo la base de los sistemas de confianza hoy en día.
Endo detiene su enfoque con webpack-transform y añade exitModuleImportHook para lavamoat-node
Los intentos de Endo de integrarse con las transformaciones de webpack sin comprometer las declaraciones originales de import/export resultaron infructuosos, a menos que webpack fuera deconstruido y utilizado como framework para construir un bundler. Endo decidió detener ese esfuerzo y buscar una solución más sencilla, experimentando en su lugar con un nuevo método en el toolkit de código abierto LavaMoat. Por otro lado, la última actualización del compartment-mapper de Endo añadió exitModuleImportHook, que permite la importación dinámica de exit modules en lugar de requerir una lista predefinida: la última funcionalidad significativa necesaria para que compartment-mapper sirva como backend de lavamoat-node. La whitelist de Endo SES también recibió una actualización menor para React Native Android JSC en endojs/endo #1511, cerrando un issue #660 pendiente desde hace tiempo (rastreado más recientemente en LavaMoat/docs #16) y siendo examinado con mayor detalle en el React Native JSC build scripts issue #181.
LavaMoat prueba un webpack loader y extiende el global scuttling a child realms
LavaMoat comenzó a explorar un enfoque alternativo para el bundling seguro mediante un webpack loader para implementar la compartimentalización, añadiendo el runtime posteriormente. Dado que las capas por encima de los loaders permanecen sin cambios, la mayoría de las funcionalidades, como el tree-shaking, siguen funcionando; el principal riesgo es que los plugins personalizados puedan alterar el código de formas imprevistas. La funcionalidad de seguridad scuttling ahora puede aplicarse a todos los posibles child realms del mismo origen (como iframes) configurando la opción experimental "scuttleGlobalThis" junto con Snow (progreso aquí). Una actualización menor a los ejemplos de LavaMoat Browserify fue incluida en LavaMoat/LavaMoat #476.
LavaMoat reactiva el soporte de React Native para la app móvil de MetaMask
El soporte de React Native fue reactivado, comenzando nuevamente con la integración del lockdown de Endo SES —originalmente orientado a RN v0.66.5 y ahora a RN v0.71.4— con la integración en la app móvil de MetaMask en curso. El progreso se rastrea en el LavaMoat React Native epic.
Dan Finlay presenta "Better Dapps with Delegatable" en EthDenver
Dan Finlay hizo su debut en EthDenver en 2023 con una charla sobre Delegatable, compartiendo una visión de cómo la delegación puede hacer que el desarrollo de aplicaciones descentralizadas sea más seguro y sencillo. En sus propias palabras: "Hay mucha gente que reclama airdrops y luego le roban todo su dinero… Delegatable te permite hacer cualquier cosa que puedas hacer en un contrato hacia otra cuenta. Tiene un sistema de caveats abierto para que puedas limitar la capacidad que estás compartiendo de la forma que quieras. Y eso te permite mantener las hot wallets más frías, limitando lo que pueden hacer mientras les permites seguir operando on chain."
Gal Weizman presenta "JS Realms, Security Blank Spot"
Gal Weizman ofreció una charla sobre los crecientes peligros de los ataques a la cadena de suministro vinculados a las dependencias, y cómo Snow JS puede ayudar a cubrir las brechas. Los temas incluyeron la evolución de la web, la importancia de la seguridad y la visibilidad, soluciones de terceros, JavaScript realms y Snow JS.
Las estafas de airdrop se disparan mientras los hackers se hacen pasar por , con una falsa captura de MetaMask utilizada para hacer phishing a usuarios
La actividad sospechosa en torno a los airdrops aumentó drásticamente en marzo de 2023. El mes anterior, MetaMask publicó un resumen de los peligros de los rugpulls y las estafas de airdrop, recordando a los usuarios que las ofertas de "dinero gratis" son un señuelo habitual de los actores maliciosos. Eso fue exactamente lo que ocurrió cuando los estafadores difundieron en redes sociales una falsa afirmación de que MetaMask tomaría una captura de pantalla o realizaría un airdrop el 31 de marzo: un anzuelo diseñado para dirigir a los usuarios hacia sitios de phishing que roban fondos a quienes intentan reclamar los tokens inexistentes. MetaMask denunció la estafa y alertó a la comunidad el 29 de marzo de 2023, advirtiendo que la falsa afirmación era "no solo falsa, sino… peligrosa", precisamente porque crea oportunidades para estafadores y phishers que apuntan a los activos de los usuarios. Estafas de airdrop imitadoras que suplantaban a Polkadot, Shiba Inu y un falso token OpenAI DeFi (GPT-4) siguieron el mismo manual durante todo el mes.
Aproximadamente 2.400 wallets comprometidas antes del airdrop de Arbitrum
Días antes del airdrop de Arbitrum, Arkham informó el 20 de marzo de 2023 que un hacker había pasado las 12 horas previas enviando fondos a alrededor de 2.400 wallets presumiblemente comprometidas, las cuales aprobaron el token ARB en anticipación al claim, desde la dirección 0x59d4...fb19. Tras los hechos, CoinDesk cubrió todo lo que puede salir mal en su artículo "Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be."
Advertencia sobre la exposición de la Global API Key de Cloudflare para equipos web3
La investigadora de seguridad de MetaMask Taylor Monahan (@tayvano_) instó a los equipos que utilizan Cloudflare para un producto web3 a actuar de inmediato el 24 de marzo de 2023: rotar la Global API Key de todas las cuentas y eliminar cualquier cuenta añadida a Cloudflare a menos que su Global API Key ya hubiera sido rotada. La Global API Key heredada otorga acceso completo a la cuenta, lo que hace que su exposición sea especialmente peligrosa.
Una invitación a una "conferencia" en el metaverso utilizada como señuelo de ingeniería social
The Trading Uncle (@thetradingunc) documentó un intento de ingeniería social el 14 de marzo de 2023 en el que una cuenta envió un mensaje directo elogiando el contenido del objetivo e invitándolo a hablar en una "conferencia" en el metaverso junto a otros panelistas: un enfoque diseñado para bajar la guardia del objetivo antes de ejecutar la estafa.
El Informe de Seguridad Cripto de MetaMask de marzo de 2023 cubrió un aumento en las estafas de airdrop —incluyendo una falsa captura de MetaMask utilizada para hacer phishing a usuarios—, aproximadamente 2.400 wallets comprometidas antes del airdrop de Arbitrum, y una advertencia sobre la Global API Key de Cloudflare para equipos web3. Consulta las ediciones anteriores del MetaMask Crypto Security Report para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
