Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Ce mois-ci, nous avons lancé une nouvelle fonctionnalité de sécurité des transactions avec OpenSea et Blockaid, qui a déjà bloqué plus de 4 000 transactions risquées. Par ailleurs, une arnaque en tant que service appelée Venom Drainer a dérobé 27 millions de dollars à environ 15 000 personnes, et nos chercheurs Taylor Monahan et Harry Denley ont commencé à enquêter sur une campagne distincte ciblant des utilisateurs crypto de longue date. Etherscan a également modifié un paramètre pour aider à limiter les arnaques par empoisonnement d'adresse. Le bilan complet est ci-dessous, mais d'abord...
À la une : Michael Faraday, pionnier de l'électromagnétisme et de l'électrochimie
Michael Faraday (1791–1867) était un scientifique anglais en grande partie autodidacte dont les expériences ont posé les fondements de l'électromagnétisme — notamment l'induction électromagnétique — et de l'électrochimie, où ses lois de l'électrolyse portent encore son nom. Son insistance sur l'expérimentation rigoureuse et reproductible plutôt que sur les suppositions est la même discipline fondée sur les preuves que celle sur laquelle repose une recherche en sécurité solide.
Endo renomme importHook et avance sur la compatibilité BigInt mobile et SES
Le exitModuleImportHook d'Endo a été renommé en importHook et attend d'être fusionné dans le compartment-mapper. SES 0.18.3+ inclut désormais le correctif React Native Android JSC mentionné précédemment pour les AsyncGenerator et AsyncFunctionPrototype non standard. L'équipe a également mené une exploration de la compatibilité BigInt avec les bibliothèques MetaMask Mobile afin de déterminer la meilleure voie à suivre : le shim big-integer ne prend pas encore entièrement en charge @ethereumjs/util, react-native-v8 est entièrement compatible mais présente un problème de performance bloquant, et Hermes fournit une implémentation BigInt fonctionnelle mais pose d'autres problèmes de compatibilité et ne dispose pas de l'instruction « with » dont SES a besoin. Diverses TypeError avec SES 0.18.3+ en cours d'investigation sur React Native 0.71.6 rapprochent l'équipe du verrouillage de MetaMask mobile, qui est mis à niveau depuis la version 0.66.5, incluant React Native 0.72.0-rc1.
Le plugin ScorchWrap de LavaMoat regroupe de vraies dépendances, et le support de Yarn Berry commence
L'équipe LavaMoat était représentée au meetup React Native London et au Node Congress Berlin en avril 2023, avec une vidéo d'une présentation de Zbigniew Tenerowicz attendue le mois suivant. L'approche précédente du bundling sécurisé fonctionnait, mais ses limitations étaient suffisamment prononcées pour que l'équipe passe d'un loader à un plugin et trouve une meilleure étape dans le processus de bundling pour envelopper chaque module. Le proof of concept du plugin, dont le nom de code est ScorchWrap, peut créer un bundle de base avec de vraies dépendances quel que soit le type de code (CommonJS, ESM ou TypeScript compilé) ; des travaux supplémentaires sont nécessaires pour la compatibilité avec d'autres plugins et les tests à grande échelle. L'équipe a également lancé des recherches préliminaires sur la compatibilité SES avec Hermes, commencé le support de Yarn Berry (3+) pour @lavamoat/allow-scripts, et des présentations sont en cours sur la nouvelle architecture de React Native et son verrouillage.
MetaMask, OpenSea et Blockaid lancent une sécurité des transactions qui bloque plus de 4 000 transactions risquées
En avril 2023, nous nous sommes associés à OpenSea et Blockaid sur une fonctionnalité expérimentale de sécurité des transactions, activable à la demande, qui signale les arnaques connues avant que les utilisateurs ne les approuvent — et elle avait déjà bloqué plus de 4 000 transactions risquées. OpenSea fournit sa liste de blocage des arnaques et Blockaid analyse les comportements malveillants en temps réel, avec d'autres travaux de sécurité à venir.
Gal Weizman découvre un XSS stocké dans Snyk Advisor (CVE-2023-1767)
Gal Weizman, de MetaMask Security, a documenté son investigation dans « CVE-2023-1767 — Stored XSS on Snyk Advisor service can allow full fabrication of npm packages health score. » Comme il l'a résumé, un XSS stocké dans Snyk Advisor lui a permis de falsifier le score de santé accordé aux packages sous son contrôle, faisant apparaître un package « malveillant » comme sain, populaire et légitime — ce qu'un attaquant aurait pu utiliser pour convaincre d'autres personnes d'installer un véritable package npm malveillant.
Venom Drainer remplace Monkey Drainer et soutire 27 millions de dollars à environ 15 000 victimes
Monkey Drainer appartient peut-être au passé, mais Venom Drainer a pris sa place presque du jour au lendemain. Selon un rapport de Scam Sniffer début avril 2023, le service d'arnaque Venom Drainer a dérobé 27 millions de dollars à environ 15 000 victimes — les cinq principales victimes ayant à elles seules perdu 14 millions de dollars — via environ 530 sites de phishing ciblant quelque 170 marques.
Une campagne de drainer multichain cible des utilisateurs crypto de longue date
À mi-mois, Taylor Monahan de MetaMask Security et Harry Denley ont lancé une enquête approfondie après avoir découvert une offensive multichain ciblant des personnes actives dans l'écosystème crypto depuis des années, dont beaucoup étaient bien versées en sécurité personnelle. Les Secret Recovery Phrases impliquées contrôlaient des clés créées entre 2014 et 2022, et l'enquête était toujours en cours. « Depuis décembre 2022, plus de 5 000 ETH ont été drainés, ainsi qu'une quantité indéterminée de tokens / NFTs / coins sur 11+ chaînes. Des amis et des OGs raisonnablement sécurisés ont été touchés. Personne ne sait comment », a partagé Monahan.
Etherscan masque les transferts de valeur nulle pour limiter l'empoisonnement d'adresse
CoinDesk a rapporté qu'« Etherscan reconfigure les paramètres de son explorateur blockchain pour filtrer les arnaques potentielles. » L'explorateur masque désormais par défaut l'affichage des transferts de tokens de valeur nulle, un paramètre visant à prévenir l'empoisonnement d'adresse — où des attaquants envoient des tokens pratiquement sans valeur à un portefeuille pour inciter l'utilisateur à copier et envoyer ultérieurement des fonds vers une adresse frauduleuse.
Un faux « hack » Uniswap par phishing redirige les utilisateurs vers un faux Revoke.cash
Des escrocs ont utilisé des bots sur les hashtags #UniswapHack et #UniswapExploit pour les faire passer en tendance, puis ont exploité ce faux « hack » pour pousser les utilisateurs vers une version contrefaite de Revoke.cash. Comme l'ont souligné Hayden Adams et Evan Van Ness le 15 avril 2023, Uniswap n'avait pas été piraté, rappelant aux utilisateurs de rester calmes et d'éviter d'agir dans la panique.
Le phishing par annonces Google a permis de voler 4 millions de dollars
Un rapport de Scam Sniffer a documenté du phishing par annonces Google ayant entraîné le vol de 4 millions de dollars. Le phishing par annonces Google est une arnaque où des fraudeurs paient pour des résultats sponsorisés imitant de vraies marques crypto, redirigeant les utilisateurs vers des sites sosies qui volent leurs identifiants de portefeuille ou leurs fonds. Ces arnaques constituent une menace récurrente : vérifiez donc les URL, utilisez des favoris dans la mesure du possible, ignorez les résultats de recherche sponsorisés et envisagez un bloqueur de publicités pour réduire votre exposition.
Le rapport de sécurité crypto de MetaMask pour avril 2023 a couvert le lancement d'une fonctionnalité expérimentale de sécurité des transactions MetaMask, OpenSea et Blockaid, le service d'arnaque Venom Drainer qui a dérobé 27 millions de dollars à environ 15 000 victimes, et une enquête en cours sur une campagne de drainer multichain ciblant des utilisateurs crypto de longue date. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
