Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En septiembre de 2022, el proyecto Endo completó una importante refactorización del shim de SES, conocida internamente como "cuádruple salto mortal hacia atrás", mientras que LavaMoat lanzó una actualización de documentación y nuevos modos de uso de lavamoat-node. Por otro lado, un estudio de Consensys analizó por qué los usuarios pierden fondos a causa del phishing. Mientras tanto, una campaña de suplantación de identidad de CircleCI recopiló credenciales de GitHub y retransmitió códigos TOTP en tiempo real para eludir la autenticación de dos factores. Además, el propio algoritmo de Twitter mostró una cuenta verificada fraudulenta mientras el hashtag #EthereumMerge era tendencia, como parte de una campaña que utilizó 36 cuentas verificadas comprometidas para suplantar a Vitalik Buterin y a la Ethereum Foundation. El análisis completo se encuentra a continuación, pero primero...
Pionero STEM destacado: Kevin Mitnick, pionero de la ingeniería social y consultor de seguridad
Kevin Mitnick (1963–2023) demostró que el vector de ataque más eficaz no es el código, sino la psicología humana. Considerado en su momento uno de los más buscados por el FBI por haber infiltrado decenas de grandes corporaciones, Mitnick se convirtió posteriormente en un consultor de seguridad de confianza para empresas Fortune 500 y gobiernos, desempeñándose como Chief Hacking Officer en KnowBe4, empresa especializada en formación sobre concienciación en seguridad. Su trabajo para establecer la ingeniería social como disciplina formal influyó directamente en la forma en que la industria se defiende contra las campañas de phishing que se abordan en este informe.
Un estudio de Consensys analiza por qué los titulares de carteras cripto pierden fondos a causa del phishing
Consensys publicó un estudio que analiza cómo y por qué los usuarios pierden fondos a causa del phishing. La investigación examinó 70 tickets de soporte al cliente y realizó entrevistas con 7 usuarios que habían perdido fondos, siguiendo una guía de preguntas estandarizada que abarcaba su comprensión y experiencia con las Frases de Recuperación Secreta y el phishing. Un hallazgo clave: los usuarios aplican señales de confianza propias de la web2 —insignias verificadas, número de seguidores, imágenes de perfil— para evaluar entidades web3, pero estas señales no se corresponden con la confiabilidad real en un entorno de cartera con autocustodia donde las transacciones son irreversibles.
Una campaña de phishing de CircleCI apunta a usuarios de GitHub y elude la autenticación de dos factores
El 16 de septiembre de 2022, GitHub Security identificó una campaña de phishing que suplantaba la identidad de CircleCI para recopilar credenciales de usuarios y códigos de doble factor. Los correos electrónicos de phishing afirmaban que las sesiones de CircleCI de los usuarios habían expirado o que debían aceptar condiciones de uso actualizadas, redirigiéndolos a dominios falsos como circle-ci[.]com y emails-circleci[.]com. El sitio de phishing retransmitía los códigos TOTP al atacante y a GitHub en tiempo real, eludiendo así la autenticación de dos factores basada en tiempo. Aunque GitHub en sí no fue comprometido, la campaña afectó a múltiples organizaciones víctimas. El incidente pone de manifiesto que el 2FA basado en TOTP es vulnerable a ataques de retransmisión en tiempo real; las llaves de seguridad de hardware (FIDO2/WebAuthn) siguen siendo la defensa más sólida.
El 14 de septiembre de 2022, mientras el hashtag #EthereumMerge era tendencia en Twitter antes de la transición del 15 de septiembre de 2022, el algoritmo de la plataforma mostró una cuenta fraudulenta promocionada junto con contenido legítimo sobre el Merge. La campaña más amplia involucró al menos 36 cuentas verificadas de Twitter comprometidas utilizadas para suplantar a Vitalik Buterin y a la Ethereum Foundation, promoviendo esquemas falsos de "sorteo de 50.000 ETH" que dirigían a las víctimas a sitios de phishing donde se les solicitaba depositar ETH con la promesa de duplicar sus ganancias.
La refactorización del shim de SES en Endo separa el manejo de alcance con el "cuádruple salto mortal hacia atrás"
El proyecto Endo presentó una importante refactorización del evaluador del shim de SES en una pila de alcance multicapa, denominada internamente "cuádruple salto mortal hacia atrás". El cambio resuelve un problema por el cual el proxy de alcance podía filtrarse y separa las distintas responsabilidades del manejo del alcance global en capas discretas. Un beneficio adicional: LavaMoat podrá utilizar el shim de SES sin modificaciones una vez que la refactorización esté implementada, eliminando la necesidad de parches específicos de LavaMoat para el shim.
LavaMoat lanza una actualización de documentación y nuevos modos de uso de lavamoat-node
El proyecto LavaMoat de MetaMask lanzó una actualización de documentación en todas sus herramientas. Las nuevas funciones de lavamoat-node incluyen un helper de conveniencia para ejecutar comandos desde node_modules/.bin y una API de uso programático, lo que facilita a los desarrolladores la integración de las protecciones de cadena de suministro de LavaMoat en los pipelines de compilación existentes.
El Informe de Seguridad Cripto de MetaMask de septiembre de 2022 cubrió una campaña de suplantación de identidad de CircleCI que eludió la autenticación de dos factores de GitHub mediante retransmisión de TOTP en tiempo real, y el algoritmo de Twitter mostrando cuentas fraudulentas verificadas durante el evento de tendencia del Ethereum Merge. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
