Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En septiembre de 2023, MetaMask lanzó la beta abierta de Snaps, incorporando seguridad personalizable y sin permisos a la billetera. También compartimos contenido educativo sobre autocustodia creado en colaboración con Ledger, y organizamos un Space sobre el Estado de la Seguridad junto con Wallet Guard. En cuanto a las herramientas, LavaMoat aceleró sus lanzamientos, añadió soporte para Node 20 y preparó ScorchWrap para su beta. Además, Gal Weizman y Zbigniew Tenerowicz de MetaMask presentaron sobre JavaScript reforzado y realms de navegador en el evento "Secure the Web Forward" del W3C. En cuanto a las amenazas, Taylor Monahan vinculó aproximadamente 35 millones de dólares en robos a Frases de Recuperación Secreta almacenadas en LastPass, y detallamos cómo el ataque de SIM-swap del grupo Pink Drainer comprometió la cuenta de Vitalik Buterin. El análisis completo se encuentra a continuación, pero primero...
Pionera STEM destacada: Luis von Ahn, co-inventor del CAPTCHA
Luis von Ahn es un informático guatemalteco que co-inventó el CAPTCHA y el reCAPTCHA —las pruebas de desafío-respuesta que distinguen a los humanos de los bots y ayudan a proteger los servicios web del abuso automatizado— y fue pionero en el concepto de computación humana. Posteriormente co-fundó Duolingo. Su trabajo se sitúa en una capa fundamental de la seguridad web cotidiana: demostrar, de forma económica y a gran escala, que hay una persona real al otro lado.
MetaMask lanza la beta abierta de Snaps, con Snaps de seguridad en el directorio
MetaMask lanzó la beta abierta de Snaps el 12 de septiembre de 2023, ampliando las opciones de seguridad personalizables dentro de la billetera según las preferencias y necesidades de los usuarios. Los Snaps son funciones y características desarrolladas por terceros que los usuarios pueden instalar directamente en su billetera (metamask.com/snaps). Esta beta abierta está orientada a usuarios avanzados y adoptadores tempranos como punto de partida. Varios Snaps enfocados en seguridad ya están disponibles en el Directorio de Snaps auditado. Cada Snap en el directorio oficial es revisado y verificado por el equipo de MetaMask y auditores externos. En un hilo complementario, Christian Montoya de MetaMask Snaps compartió consejos básicos para optimizar la seguridad de MetaMask y destacó los Snaps de la beta que pueden ayudar a proteger a los usuarios de transacciones riesgosas.
MetaMask y Ledger publican una lección de seguridad sobre autocustodia
MetaMask, en colaboración con Ledger, publicó una lección de seguridad en web3 que abarca la responsabilidad que conlleva la autocustodia, cómo evitar vectores de ataque comunes y la importancia de usar una billetera de hardware. Para promover la lección, el investigador senior de seguridad de MetaMask, Miles Nolan, se unió a colegas de MetaMask y Ledger para co-organizar un X Space en vivo el 20 de septiembre de 2023.
MetaMask y Wallet Guard organizan un Space sobre el Estado de la Seguridad del Q3
MetaMask y Wallet Guard organizaron un X Space conjunto sobre el estado de la seguridad. Ohm, Martin y Michael de Wallet Guard se unieron a Marco Menozzi (Seguridad de MetaMask) y Christian Montoya (MetaMask Snaps) para debatir sobre seguridad de dispositivos, ingeniería social, filtraciones de datos, SIM swapping, anuncios fraudulentos y MetaMask Snaps. Wallet Guard también compartió un resumen escrito de la grabación.
Las semifinales de la Ambassador World Cup de HackerOne incluyen búsqueda de bugs en MetaMask, Shopify y Tinder
HackerOne dio inicio a las semifinales de su Ambassador World Cup el 27 de septiembre de 2023, con 4 equipos buscando vulnerabilidades para socios como MetaMask, Shopify y Tinder, mientras trabajan para asegurar sus productos y proteger a sus clientes.
Una lista de permitidos de calldata busca reducir las pérdidas por secuestro de DNS
En los últimos 3 años, más de 125 millones de dólares han sido sustraídos mediante secuestro de DNS e inyección de contenido malicioso. MetaMask está adoptando una solución creada por el equipo de Yearn: una lista de permitidos de calldata en blockchain que impide que actores maliciosos perjudiquen a los usuarios en caso de un secuestro de DNS. El equipo de relaciones con desarrolladores de MetaMask está contactando a terceros cuya participación será fundamental para la iniciativa; más detalles se encuentran en un documento público que enlaza al repositorio de prueba de concepto, junto con un breve video explicativo con Miles Nolan.
Actualización de LavaMoat: lanzamientos más rápidos, soporte para Node 20, beta de ScorchWrap y bloqueo en móvil
Las mejoras en el proceso de lanzamiento han simplificado las publicaciones, por lo que una mayor cadencia de lanzamientos es ahora la norma. Un cambio en la estructura de las pruebas logró que estas pasaran en Node 20, que ahora cuenta con soporte oficial. El plugin ScorchWrap está listo para la beta y será anunciado en dos eventos remotos para desarrolladores, con el programa beta disponible en las discusiones de LavaMoat. El bloqueo en MetaMask Mobile ya está funcionando y debería lanzarse pronto.
Gal Weizman y Zbigniew Tenerowicz presentan en el evento "Secure the Web Forward" del W3C
En el evento "Secure the Web Forward" del W3C, Zbigniew Tenerowicz presentó sobre la aplicación de JavaScript reforzado a la seguridad de la cadena de suministro como defensa proactiva, y Gal Weizman presentó sobre cómo los realms de JavaScript se utilizan para eludir las herramientas de seguridad existentes en aplicaciones web. En un artículo relacionado sobre la "preocupación del mismo origen", Weizman —quien mantiene el proyecto Snow JS— describe la falta de control que tienen las aplicaciones sobre los nuevos realms que surgen bajo su propio origen, por qué los esfuerzos actuales para abordarlo son insuficientes y cómo una solución nativa del navegador podría ofrecer una corrección segura y eficiente; el artículo fue presentado al grupo de trabajo de seguridad del W3C este mes.
Frases de Recuperación Secreta almacenadas en LastPass vinculadas a ~35 millones de dólares en fondos robados
Una serie de robos de alto valor por aproximadamente 35 millones de dólares podría estar vinculada a una brecha de seguridad divulgada por LastPass casi un año antes. Taylor Monahan de MetaMask ha seguido las pistas desde diciembre de 2022, señalando que las víctimas "son verdaderamente todas razonablemente seguras" y están "profundamente integradas en este ecosistema" —incluyendo empleados de organizaciones cripto de renombre, capitalistas de riesgo y personas que construyeron protocolos DeFi, despliegan contratos y operan nodos completos. El hilo conductor principal que encontró es que las víctimas habían utilizado LastPass para almacenar sus Frases de Recuperación Secreta en algún momento, y su consejo fue directo: no mantengas todos tus activos bajo una sola clave o frase durante años —divide los activos, consigue una billetera de hardware y migra ahora. Krebs on Security tiene más información.
ERC-7512 propone un estándar onchain para auditorías de contratos inteligentes
Una propuesta para ERC-7512 busca representar las auditorías de contratos inteligentes onchain. Al permitir que usuarios y aplicaciones verifiquen auditorías realizadas por auditores de confianza, el estándar establecería un sistema de reputación onchain para auditores y ayudaría a construir un entorno más confiable para el uso de contratos inteligentes.
"Gone Phishing" de Rekt y el ataque de Pink Drainer a Vitalik Buterin
"Gone Phishing" de Rekt recopila una serie de estafas que abarcan frontends comprometidos, pig butchering, un error onchain de ocho cifras y cuentas hackeadas pertenecientes a figuras públicas e incluso agencias gubernamentales —incluyendo el destacado ataque de SIM-swap drainer a Vitalik Buterin. Para más información sobre el grupo detrás de esto, Boring Security documentó los métodos de Pink Drainer tras el compromiso de la cuenta de Buterin el 10 de septiembre de 2023.
El Informe de Seguridad Cripto de MetaMask de septiembre de 2023 cubrió el lanzamiento de la beta abierta de MetaMask Snaps, aproximadamente 35 millones de dólares en robos que Taylor Monahan vinculó a Frases de Recuperación Secreta almacenadas en LastPass, y el ataque de SIM-swap de Pink Drainer que comprometió la cuenta de Vitalik Buterin. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
