Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En noviembre de 2022, LavaMoat lanzó Snow y el "global scuttling" a producción para todos los usuarios, incluida la extensión de MetaMask, junto con una versión de SES con cuatro niveles de backflip, el control del dominio en Node.js y una mitigación inicial de ataques de confusión de binarios. Mientras tanto, Endo desarrolló un prototipo de bundler de propósito general y el Equipo de Inteligencia de Amenazas comenzó a construir una base de datos de incidentes DeFi basada en STIX. En el ámbito comunitario, MetaMask compartió la charla de Kumavis en Devcon sobre seguridad en la cadena de suministro de JavaScript, Gal Weizman argumentó a favor de integrar Snow en la extensión, y un Twitter Space exploró cómo los Snaps pueden fortalecer la autocustodia tras el colapso de FTX. El mes cerró con advertencias importantes: phishing mediante Google Ads y Google Sites, una extensión maliciosa de Chrome distribuida a través de falsas actualizaciones de Flash Player, y estafas con bots de trading en Telegram. El análisis completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Daphne Oram, pionera de la música electrónica y cofundadora del BBC Radiophonic Workshop
Daphne Oram (1925–2003) cofundó el BBC Radiophonic Workshop en 1958 y fue pionera en la técnica que denominó Oramics, que consistía en dibujar formas directamente sobre película para sintetizar sonido. Su trabajo de traducción de patrones dibujados a mano en señales precisas anticipó el tipo de pensamiento basado en señales y patrones que sustenta la verificación de datos en el software de billeteras de autocustodia. Oram dedicó su carrera a demostrar que las herramientas altamente técnicas podían ser expresivas y accesibles para personas sin conocimientos especializados.
LavaMoat lanza Snow y el global scuttling en la extensión de MetaMask
Noviembre de 2022 marcó un importante lanzamiento a producción para LavaMoat. Snow (seguridad recursiva de iframes y realms) y el global scuttling (eliminación de referencias globales originales tras la captura basada en políticas) se implementaron para todos los usuarios de LavaMoat, incluida la extensión de MetaMask. Se introdujo en LavaMoat una versión de SES con "cuatro niveles de backflip" y varias actualizaciones importantes para la próxima versión, entre ellas el control del dominio en Node.js, algo destacable dado que algunos paquetes aún utilizan el módulo de dominio de Node, que lleva mucho tiempo en desuso. La versión inicial de la mitigación de ataques de confusión de binarios se integró en @lavamoat/allow-scripts y estará disponible con una flag en la próxima versión. También estaba en desarrollo una nueva CLI para configurar todas las herramientas de LavaMoat en un repositorio mediante unas pocas preguntas guiadas.
Endo desarrolla un prototipo de bundler de propósito general sobre su compartment mapper
El proyecto Endo experimentó con el uso de Endo para impulsar un bundler, construyendo un prototipo de bundler de propósito general sobre su compartment mapper. Este trabajo generó una serie de funcionalidades y mejoras en el código base de Endo, incluida la corrección de un error en el manejo de las reexportaciones con nombre.
El equipo de inteligencia de amenazas de MetaMask construye una base de datos de incidentes DeFi en STIX
El Equipo de Inteligencia de Amenazas de MetaMask comenzó a trabajar en un almacén de datos estandarizado para incidentes en el espacio de las finanzas descentralizadas (DeFi). Los registros utilizan el lenguaje STIX (Structured Threat Information Expression), con el objetivo de servir como fuente de verdad que proporcione información tanto a especialistas como a entusiastas que hacen seguimiento de los incidentes de seguridad en DeFi.
El cofundador de MetaMask, Kumavis, comparte su charla sobre seguridad en la cadena de suministro de JavaScript en Devcon 2022
El propio Kumavis de MetaMask presentó una charla en Devcon 2022 titulada The Attacker is Inside, sobre seguridad en la cadena de suministro de JavaScript. Explicó cómo funcionan los ataques a la cadena de suministro de software en los ecosistemas de JavaScript y cripto —donde cada proyecto se construye sobre código abierto compartido— y cómo LavaMoat, la herramienta gratuita y de código abierto de MetaMask, protege a los usuarios y sus billeteras.
Gal Weizman argumenta a favor de integrar Snow en la extensión de MetaMask
El colaborador de LavaMoat, Gal Weizman, publicó "Integrating Snow into MetaMask", donde defiende la implementación de la tecnología de seguridad para navegadores Snow directamente en la extensión de MetaMask para navegador. Snow aplica la propiedad recursiva de realms en todos los iframes, cerrando la superficie de ataque donde los realms de navegador recién creados se utilizan para acceder a referencias de API no modificadas y eludir las políticas aplicadas a la ventana de nivel superior.
Tras el colapso de FTX, un Twitter Space organizado por MetaMask reunió a Christian Montoya (MetaMask), Zen Yong (Web3Auth) y Chirag Titiya (Biconomy) para debatir cómo la innovación sin permisos a través de MetaMask Snaps puede ayudar a los usuarios a tomar el control de sus propios fondos y proteger mejor sus Frases de Recuperación Secreta. Como señaló Zen Yong, el evento de FTX "podría haber tenido menos impacto en el cripto en general si más personas practicaran la autocustodia". Montoya destacó que el objetivo es permitir a los desarrolladores crear nuevas opciones de gestión de cuentas en MetaMask, ofreciendo a los nuevos usuarios alternativas más sencillas y seguras que reduzcan el riesgo de perder una clave o de que una cuenta sea comprometida.
Google Ads y Google Sites utilizados para alojar páginas de phishing de billeteras cripto
Las campañas de phishing continuaron abusando de la infraestructura de Google para atacar a usuarios de billeteras cripto. The Verge documentó previamente cómo los phishers utilizan Google Ads para engañar a las personas y robarles sus criptomonedas, y los usuarios también deben estar atentos a las URLs que comienzan con "sites.google." Según informó Mashable, los estafadores también han tenido éxito construyendo sitios web de phishing en Google Sites, copiando el diseño de sitios de confianza para engañar a las personas y que introduzcan información confidencial.
Una extensión maliciosa de Chrome se propaga a través de falsas actualizaciones de Adobe Flash Player
BleepingComputer informó sobre una extensión maliciosa de Chrome que otorga a los atacantes el control remoto del navegador. La extensión no está disponible en la Chrome Web Store oficial y se distribuye a través de canales alternativos, como sitios web que ofrecen falsas actualizaciones de Adobe Flash Player. La lección para los usuarios: evita instalar extensiones de navegador o "actualizaciones" provenientes de fuentes no oficiales.
Las estafas con bots de trading en Telegram ponen en riesgo las claves de las billeteras
En noviembre de 2022 circularon advertencias en redes sociales sobre actividad maliciosa en Telegram y bots de trading. El usuario de Twitter Big D alertó sobre un troyano que se propagaba a través de Telegram y que podía descargarse en un teléfono mediante una configuración automática fácil de pasar por alto, mientras que otro análisis examinó cómo las claves privadas de los usuarios pueden quedar expuestas dentro de los bots de trading. El uso de bots de trading está en aumento, pero otorgarles acceso a la billetera puede poner los fondos en riesgo.
El Informe de Seguridad Cripto de MetaMask de noviembre de 2022 cubrió el lanzamiento a producción de Snow y el global scuttling de LavaMoat en la extensión de MetaMask, un Twitter Space sobre cómo los MetaMask Snaps pueden fortalecer la autocustodia tras el colapso de FTX, y advertencias sobre phishing mediante Google Ads y Google Sites, una extensión maliciosa de Chrome y estafas con bots de trading en Telegram. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
