Chaque mois, l'équipe de sécurité de MetaMask rend compte des dernières attaques crypto et des risques émergents à connaître.
En août 2022, le projet Endo a démontré l'application de politiques de sécurité de type LavaMoat dans son compartment mapper, l'outil Snow a corrigé plusieurs vulnérabilités et exploré l'intégration du verrouillage SES, et le programme de bug bounty HackerOne de MetaMask a versé 22 000 $ pour cinq problèmes résolus au cours de ses deux premiers mois. Du côté des menaces, des groupes de phishing ont exploité la confusion autour du Merge imminent d'Ethereum, en diffusant des e-mails usurpant l'identité d'entités de confiance comme Infura et en promouvant une conversion vers un token « ETH 2.0 » inexistant, tandis que l'économie des arnaques suivait le même rythme : environ 64 661 nouveaux tokens honeypot ont été lancés en 2022, soit une hausse de 83 % par rapport à 2021. L'analyse complète est présentée ci-dessous, mais d'abord...
À la une : Leslie Lamport, créateur de la théorie de la tolérance aux pannes byzantines et de LaTeX
L'article de Leslie Lamport publié en 1982, « The Byzantine Generals' Problem », a formalisé le défi d'atteindre un consensus entre des nœuds distribués lorsque certains d'entre eux peuvent agir de manière malveillante — le problème exact que les protocoles de proof-of-stake et de proof-of-work résolvent pour sécuriser les réseaux blockchain. Son algorithme de consensus Paxos constitue le fondement des systèmes distribués modernes, et il a créé LaTeX, le système de préparation de documents utilisé dans l'ensemble de l'édition scientifique. Lamport a reçu le prix Turing de l'ACM en 2013.
Les campagnes de phishing autour du Merge d'Ethereum usurpent l'identité d'entités de confiance avec de fausses arnaques de conversion ETH 2.0
En août 2022, des escrocs ont intensifié des campagnes de phishing visant à exploiter la confusion et l'incertitude autour de la mise à niveau réseau Merge d'Ethereum (finalisée le 15 septembre 2022). Des e-mails sophistiqués usurpant l'identité d'entités de confiance comme Infura ont circulé, incitant les utilisateurs à « convertir leur ETH en ETH 2.0 » — un token inexistant. Le Merge a fait passer Ethereum du proof-of-work au proof-of-stake et n'a nécessité aucune action de la part des utilisateurs : ni échange de tokens, ni nouveau portefeuille, ni migration d'ETH. À l'approche du Merge, Consensys a publié des contenus de démystification pour contrer la désinformation. Les utilisateurs qui détenaient de l'ETH dans un portefeuille self-custodial compatible EVM, comme MetaMask, n'avaient aucune action à effectuer suite à la mise à niveau réseau du Merge.
Les arnaques honeypot crypto utilisent des restrictions cachées dans les smart contracts pour piéger les fonds des acheteurs
Consensys a publié un guide sur les mécanismes des arnaques honeypot expliquant comment les attaquants déploient des smart contracts qui semblent offrir des opportunités de trading rentables, mais contiennent du code caché empêchant les acheteurs de revendre. Le contrat autorise les achats, faisant monter le prix du token, tandis qu'une restriction dissimulée bloque toutes les transactions de vente à l'exception de celles provenant de l'adresse du déployeur. Les signaux d'alerte courants incluent les tokens sans historique de vente, le code source du contrat non vérifié et les pools de liquidité à portefeuille unique.
Le compartment mapper d'Endo démontre l'application de politiques de sécurité de type LavaMoat dans une preuve de concept
Le projet Endo a finalisé une preuve de concept intégrant une politique de sécurité de type LavaMoat dans son compartment mapper. L'expérience a démontré l'attribution sélective de variables globales et le contrôle d'accès aux dépendances, avec la politique définie au moment du chargement ou lors de la création de l'archive, intégrée dans le compartment mapper et appliquée durant la phase de liaison. Les travaux de suivi prévus comprenaient des améliorations des identifiants de packages, la prise en charge des propriétés imbriquées dans les variables globales de la politique, l'encapsulation et le désencapsulage de ces valeurs pour les fonctions dotées, ainsi que des expérimentations supplémentaires sur l'atténuation des fonctions intégrées.
Snow corrige plusieurs vulnérabilités et explore l'intégration du verrouillage SES
Snow, l'outil LavaMoat qui applique une politique de sécurité récursive à tous les iframes et fenêtres créés au sein d'une application web, a fait l'objet d'une série de tests et d'exploitations. Plusieurs vulnérabilités ont été identifiées et corrigées, l'une d'elles déclenchant une amélioration majeure de l'architecture de sécurité interne de Snow. Le correctif a ouvert la possibilité d'intégrer SES lockdown() — la fonction de durcissement Secure ECMAScript — pour renforcer davantage la défense de Snow contre les attaques basées sur les realms. LavaMoat a également entrepris une mise à jour de la documentation de ses outils.
Le bug bounty HackerOne verse 22 000 $ pour 5 problèmes résolus au cours des deux premiers mois
Notre programme de bug bounty sur HackerOne, lancé le 13 juin 2022, a reçu 171 rapports au cours de ses deux premiers mois. Le délai moyen de première réponse était de 5 heures. Cinq problèmes ont été résolus — 1 de sévérité Haute, 3 de sévérité Moyenne et 1 de sévérité Faible — avec 22 000 $ versés aux rapporteurs. Le délai moyen de résolution (MTTR) pour ces problèmes était de 44,4 jours. Les actifs dans le périmètre comprenaient MetaMask Extension (MetaMask/metamask-extension) et MetaMask Mobile (MetaMask/metamask-mobile).
Problèmes de bug bounty résolus (deux premiers mois) :
Date du rapport | Sévérité | Date de clôture | Délai de résolution (jours) | Catégorie | Sous-catégorie | Prime |
8 juin 2022 | Faible | 18 juillet 2022 | 40 | Extension | Page de phishing | 1 000 $ |
3 juin 2022 | Moyenne | 10 août 2022 | 68 | Mobile | Navigateur | 2 000 $ |
9 juin 2022 | Moyenne | 20 juin 2022 | 11 | MetaMask | Chaîne d'approvisionnement | 2 000 $ |
10 juin 2022 | Moyenne | 10 août 2022 | 61 | Mobile | Configuration | 2 000 $ |
29 juin 2022 | Haute | 10 août 2022 | 42 | Mobile | Navigateur | 15 000 $ |
MTTR |
|
44,40 | | | |
Le rapport de sécurité crypto d'août 2022 de MetaMask a couvert les campagnes de phishing autour du Merge d'Ethereum usurpant l'identité d'entités de confiance avec de fausses arnaques de conversion ETH 2.0, les mécanismes des arnaques honeypot crypto avec environ 64 661 nouveaux tokens honeypot déployés en 2022, ainsi que l'intégration en preuve de concept par Endo d'une application de politiques de sécurité de type LavaMoat dans son compartment mapper. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
