Informe de seguridad cripto: marzo de 2024

Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.

Marzo de 2024 fue un mes de intensa actividad en torno a ETHDenver, donde MetaMask organizó un security spotlight y co-organizó un evento State of Security con Wallet Guard, además de nuevas incorporaciones a la beta de Snaps: un snap de simulación de transacciones DeFi Armor y el snap de información sobre firmas de Happy Harpie. En cuanto a las amenazas, un ataque al servicio Inferno Drainer resultó en $2,5 millones robados, los usuarios de FTX y BlockFi perdieron más de $7 millones en una campaña de phishing por correo electrónico de Pink Drainer, y un exploit en los contratos basados en MakerDAO de Curio costó más de $16 millones. El desglose completo se encuentra a continuación, pero primero...

Pionera STEM destacada: Kono Yasui, citóloga y primera doctora en ciencias de Japón

Kono Yasui (1880–1971) fue una citóloga y botánica japonesa que, en 1927, se convirtió en la primera mujer japonesa en obtener un doctorado en ciencias. Su investigación abarcó la citología vegetal y la genética, incluyendo estudios detallados sobre la estructura de las plantas formadoras de carbón, y trabajó para abrir la educación científica a las mujeres. La meticulosa atención de Yasui a la estructura a nivel microscópico —viendo lo que otros pasaban por alto— refleja el mismo escrutinio minucioso que exige un trabajo de seguridad riguroso.

Historias de Snaps: Account Management Snaps, un snap de simulación DeFi Armor y los signature insights de Harpie

La colección de Security Snaps sigue creciendo. MetaMask añadió un nuevo snap de simulación de transacciones de DeFi Armor, que marca una transacción y explica el motivo cuando esta no supera la política de seguridad personalizable y curada de DeFi Armor. También es nuevo un snap de información sobre firmas del proyecto de hackathon ETHDenver de Happy Harpie, que decodifica firmas, verifica las direcciones incluidas en un payload de firma contra Harpie para detectar las maliciosas, y lee las firmas de listados de NFT en Seaport para advertirte cuando un listado tiene un precio muy por debajo del precio mínimo. Mientras tanto, la beta abierta de Account Management Snaps sigue disponible para probar, con snaps de Capsule, Safeheron y Silent Shard.

MetaMask organiza un security spotlight en ETHDenver

MetaMask celebró un evento security spotlight en ETHDenver 2024 junto a amigos de Alterya, Blockaid, Chain Patrol, Forta, Hexagate, Hypernative, Karma3 Labs, Paradigm y Wallet Guard. Las grabaciones en vídeo ya están disponibles para todo el mundo.

MetaMask y Wallet Guard organizan el evento State of Security X de marzo de 2023

El último evento State of Security X de MetaMask y Wallet Guard fue co-organizado por Ian Wallis, Ohm Shah y Michael K. Los temas incluyeron la preparación para el futuro, las amenazas actuales y futuras de la IA, las últimas técnicas de ingeniería social y phishing, los riesgos de los airdrops y el farming, y una cobertura especial de los debates sobre seguridad en ETHDenver.

La Blockchain Security Series de Blockfence presenta a Taylor Monahan de MetaMask Security

En el episodio 3 de la Blockchain Security Series de Blockfence, Taylor Monahan de MetaMask se unió a Pablo Sabbatella, jefe de investigación de seguridad de Blockfence, para hablar sobre por qué los desarrolladores deben proteger a sus usuarios, su aprecio compartido por los hackers de sombrero blanco y una cadena de ataques a wallets antiguas ocurrida el abril anterior. Su conclusión principal fue doble. Primero, nunca guardes tu Frase de Recuperación Secreta en un gestor de contraseñas. Segundo, trata la seguridad como un hábito continuo en lugar de una configuración puntual, haciendo cada día algo pequeño para mejorarla, de modo que esos pequeños pasos se acumulen con el tiempo. Eso podría ser revocar aprobaciones de tokens que ya no usas, mover algunos fondos a una hardware wallet o activar la autenticación de dos factores basada en aplicación para una cuenta.

Inferno Drainer es comprometido por $2,5 millones

El 18 de marzo de 2024, Inferno Drainer, un kit de "drainer como servicio" que los estafadores alquilan para vaciar las wallets de sus víctimas de phishing, fue hackeado por $2,5 millones. El investigador de seguridad ZachXBT compartió un mensaje filtrado de un chat grupal de clientes de Inferno Drainer que revelaba que el atacante había actualizado la dirección de pago de cada cliente por la suya propia. Dado que los clientes de Inferno Drainer son ellos mismos estafadores, esto significó que los propios usuarios del drainer fueron estafados: cualquier wallet que lograron phishear ese día envió los fondos robados al atacante en lugar de a ellos.

Aunque el ataque ocurrió fuera de las redes blockchain, dentro de la propia operación de Inferno Drainer y no on-chain, los $2,5 millones seguían siendo robados de víctimas de phishing en primer lugar, y las víctimas de estafas suelen ser atacadas de nuevo tras una primera pérdida. Es un recordatorio para ser cauteloso con los enlaces compartidos en redes sociales, ya que incluso las cuentas de confianza pueden ser hackeadas; mantén fondos importantes en una hardware wallet; guarda solo activos mínimos en las wallets de uso diario; y utiliza cuentas diferentes para distintos niveles de riesgo.

Los usuarios de FTX y BlockFi pierden más de $7 millones en una campaña de phishing por correo electrónico

Los usuarios de FTX y BlockFi perdieron más de $7 millones en la mainnet de Ethereum en una campaña de phishing durante la semana del 18 de marzo de 2024. El ataque tuvo dos partes. Fuera de la blockchain, el phishing en sí se basó en correos electrónicos enviados a una lista de direcciones de destinatarios supuestamente robada en el compromiso de MailerLite, una brecha en la plataforma de email marketing que utilizaban varias empresas cripto, que proporcionó a los atacantes listas ya preparadas de usuarios a los que dirigirse. En la blockchain, el robo real ocurrió cuando una víctima firmó una firma maliciosa o interactuó con un contrato malicioso, momento en el que el actor de la amenaza utilizó el drainer como servicio (DaaS) Pink Drainer para sacar los fondos de su wallet. Los usuarios deben ser cautelosos ante cualquier correo electrónico que les pida conectar una wallet o firmar una transacción, y siempre deben verificar la legitimidad a través de los canales oficiales.

El contrato basado en MakerDAO de Curio es explotado por $16 millones

Durante el fin de semana del 23 de marzo de 2024, Curio Ecosystem informó que sus contratos inteligentes basados en MakerDAO en Ethereum habían sido explotados, con una pérdida total de más de $16 millones; los contratos en Polkadot y en la propia Curio Chain permanecieron seguros. Curio publicó posteriormente un mapa de ruta de estrategia de recuperación indicando que el 100% de los fondos serían restituidos a los usuarios. Todos los titulares del token de gobernanza de Curio se vieron afectados y, dado que el ataque explotó una vulnerabilidad en los propios contratos de Curio, había poco que los usuarios individuales pudieran haber hecho. Para los desarrolladores de protocolos, la lección es auditar los contratos inteligentes de forma exhaustiva y continua con cada nueva versión, y ejecutar un programa de bug bounty para que los investigadores puedan detectar vulnerabilidades antes que los atacantes.

El Informe de Seguridad Cripto de MetaMask de marzo de 2024 cubrió los eventos de seguridad de MetaMask en ETHDenver y las nuevas incorporaciones de Snaps, el compromiso de $2,5 millones del servicio Inferno Drainer, y una campaña de phishing por correo electrónico de Pink Drainer que costó a los usuarios de FTX y BlockFi más de $7 millones. Consulta las ediciones anteriores del MetaMask Crypto Security Report para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.