Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
La historia más importante de este mes: nuestros investigadores Taylor Monahan y Harry Denley continuaron investigando un hackeo multicadena de aproximadamente 10 millones de dólares que vació las carteras de alrededor de 300 usuarios veteranos de criptomonedas cuyas Frases de Recuperación Secreta quedaron expuestas. La FTC también advirtió sobre correos electrónicos de phishing que se hacen pasar por empresas cripto, y una práctica lista de verificación para investigar el vaciado de carteras circuló ampliamente. En el ámbito de ingeniería, LavaMoat fusionó 27 actualizaciones de dependencias y avanzó en su plugin ScorchWrap, el endurecimiento de MetaMask Mobile y la función de "scuttling"; Endo mejoró su manejo de errores de CommonJS; y la charla "Eval all the Strings!" sobre JavaScript Reforzado de Zbigniew Tenerowicz se publicó en línea. El desglose completo está a continuación, pero primero...
Pionera STEM destacada: Ada Lovelace, la primera programadora informática
Ada Lovelace (1815–1852) fue una matemática inglesa considerada la primera programadora informática por su trabajo en la propuesta de Máquina Analítica de Charles Babbage, que incluía un algoritmo para calcular los números de Bernoulli. También previó que dicha máquina podría hacer mucho más que cálculos puros. Esa insistencia temprana en la lógica precisa y verificable es la misma disciplina de la que aún depende la seguridad informática confiable.
Actualización de LavaMoat: 27 pull requests de dependencias, ScorchWrap, bloqueo móvil y scuttling
LavaMoat fusionó 27 pull requests individuales con actualizaciones de dependencias en sus paquetes, incluyendo correcciones para vulnerabilidades conocidas, y lanzó versiones menores con dependencias actualizadas y correcciones de compatibilidad con Node.js 18. El trabajo continuó en el plugin webpack ScorchWrap, con avances en la inclusión del runtime en el propio bundle y hallazgos sobre compatibilidad con otros plugins. Nuestro equipo también continuó trabajando en las protecciones de cadena de suministro de LavaMoat para MetaMask Mobile, de modo que incluso una dependencia comprometida no pueda acceder a las APIs sensibles del navegador. Como parte de ese esfuerzo, el equipo resolvió excepciones no capturadas (TypeErrors lanzados por bibliotecas como ethjs) que aparecían al depurar bajo Chrome V8. El trabajo relacionado avanzó en el "scuttling", una función que deshabilita el acceso a los globals comunes en toda la ventana cuando los endowments de un paquete serían de otro modo demasiado amplios.
Endo mejora su error de módulo faltante de CommonJS en compartment-mapper
Endo mejoró el error de módulo faltante de CommonJS en su compartment-mapper, haciendo más claros los fallos cuando no se puede encontrar un módulo requerido.
La charla "Eval all the Strings!" de Zbigniew Tenerowicz sobre JavaScript Reforzado
Zbigniew Tenerowicz (ZB) de MetaMask dio una ágil charla llamada Eval all the Strings! en el Node Congress de Berlín en abril de 2023. En poco más de 7 minutos, ZB habló sobre Secure ECMAScript (SES) y los Compartments —ambas propuestas de TC39— y las herramientas que está desarrollando para hacerlos utilizables. En sus palabras: "SES + herramientas (LavaMoat o Endo) está haciendo posible limitar el acceso a la red, fs, módulos core o globals por paquete… Para mí, este es el paso final para asegurar la cadena de suministro de npm: incluso si un paquete es tomado por actores maliciosos, no podrá hacerme daño."
"Esta charla trata sobre SecureEcmaScript y los Compartments, que son propuestas de TC39, y estoy trabajando en herramientas para hacer estos conceptos utilizables junto con las personas que impulsan esas propuestas. Este es un relato de primera mano sobre el futuro de la seguridad en JavaScript. SES + herramientas (LavaMoat o Endo) está haciendo posible limitar el acceso a la red, fs, módulos core o globals por paquete. Quiero mostrar cómo funcionan, qué posibilidades abren y cómo hacer realidad ese futuro hoy con algo de esfuerzo. Para mí, este es el paso final para asegurar la cadena de suministro de npm: incluso si un paquete es tomado por actores maliciosos, no podrá hacerme daño."
The Defiant: Taylor Monahan de MetaMask explica un hackeo multicadena de 10 millones de dólares
En una entrevista con The Defiant, la investigadora de seguridad de MetaMask Taylor Monahan explicó el hackeo multicadena que ella y su colega Harry Denley comenzaron a investigar en abril de 2023 —una ofensiva masiva dirigida a usuarios veteranos de criptomonedas— junto con consejos para mantenerse seguro y una discusión sobre "el código es ley" y "la blockchain es inmutable". Los atacantes utilizaron un método inusual: intercambiaron los activos que estaban robando dentro de la cartera de la víctima antes de enviarlos a un exchange descentralizado (DEX). La forma en que los atacantes vulneraron a aproximadamente 300 personas cuyas Frases de Recuperación Secreta quedaron expuestas sigue siendo desconocida, y se asume que el ataque no se llevó a cabo mediante métodos de phishing típicos. Las recomendaciones de Monahan para mayor seguridad incluyeron usar una cartera de hardware y descentralizar los fondos en múltiples carteras.
Una lista de verificación para investigar el vaciado de carteras de Jon_HQ
Si una cartera es vaciada, descubrir cómo ocurrió el ataque no requiere ser un investigador de seguridad. El usuario de Twitter Jon_HQ publicó una exhaustiva lista de verificación en Twitter, compartida el 5 de mayo de 2023, que detalla los pasos a seguir al investigar un vaciado: vale la pena guardarla como referencia.
La FTC advierte que los correos urgentes de empresas cripto son estafas de phishing
Una alerta para consumidores de la Comisión Federal de Comercio (FTC) advirtió al público que tenga especial precaución con los mensajes que parecen provenir de servicios relacionados con criptomonedas. Ante cualquier correo electrónico no solicitado, la FTC aconsejó no actuar con rapidez independientemente de lo que diga el mensaje —crear una falsa sensación de urgencia es una táctica estándar de estafa diseñada para anular el pensamiento crítico— y recomendó no hacer clic en enlaces de correos no solicitados y mantener el software de seguridad actualizado. Los correos de phishing de suplantadores de MetaMask pueden reportarse en https://support.metamask.io/chat.
Cómo reconocer las cuentas reales de MetaMask frente a las falsas
Los estafadores frecuentemente se hacen pasar por marcas cripto de confianza, creando sitios web, correos electrónicos y perfiles de redes sociales similares para engañar a los usuarios y obtener acceso a sus cuentas. Para ayudarte a mantenerte protegido, nuestra base de conocimiento de soporte explica cómo reconocer el MetaMask real y cómo asegurarte de estar usando el canal de soporte correcto.
El Informe de Seguridad Cripto de MetaMask de mayo de 2023 cubrió la investigación en curso de Taylor Monahan sobre un hackeo multicadena de 10 millones de dólares dirigido a usuarios veteranos de criptomonedas, una alerta de la FTC sobre correos de phishing que suplantan a empresas cripto, y la charla "Eval all the Strings!" de Zbigniew Tenerowicz sobre JavaScript Reforzado. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
