Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En décembre 2022, LavaMoat a publié sa protection contre les attaques de confusion de binaires derrière un flag expérimental, le bundler compartment-mapper d'Endo a réussi une première preuve de concept CommonJS, et le groupe de travail sur la sécurité de Node.js a proposé un modèle de permissions au niveau du processus qui complète l'approche par package de LavaMoat. Du côté des menaces, le groupe Lazarus de Corée du Nord a diffusé une nouvelle variante du malware AppleJeus via de fausses applications crypto, et une arnaque d'ingénierie sociale d'un mois a permis de dérober 14 Bored Apes pour une valeur de 1,07 million de dollars. Pour clore l'année, le programme de bug bounty HackerOne a dépassé les 100 chercheurs, PhishFort a recensé 19 571 attaques de phishing utilisant la marque MetaMask, et MetaMask et Laconic ont lancé l'initiative anti-phishing MobyMask. L'analyse complète est présentée ci-dessous, mais d'abord...
Pionnière STEM à l'honneur : Hedy Lamarr, co-inventrice de l'étalement de spectre par saut de fréquence
Hedy Lamarr (1914–2000), aux côtés du compositeur George Antheil, a breveté un « Système de communication secrète » en 1942 utilisant le saut de fréquence pour empêcher le brouillage des signaux guidant les torpilles radio. L'idée de répartir un signal sur des fréquences changeant rapidement est devenue le fondement de la technologie moderne d'étalement de spectre utilisée dans le Wi-Fi, le Bluetooth et le GPS — les protocoles sans fil qui connectent les utilisateurs de portefeuilles auto-custodiaux aux réseaux blockchain. Lamarr a été intronisée au National Inventors Hall of Fame en 2014.
LavaMoat publie une protection contre les attaques de confusion de binaires derrière un flag expérimental
LavaMoat a publié @lavamoat/allow-scripts avec le flag --experimental-bins, offrant une protection contre les attaques de confusion de scripts bin npm pour les projets npm et Yarn 1. Cette protection prévient le détournement de commandes CLI légitimes par des packages malveillants via le comportement de liaison du champ bin de npm.
Endo fait progresser son bundler compartment-mapper avec le support CommonJS
Les travaux sur le bundling se sont intensifiés dans le projet Endo. Une série de correctifs de compatibilité a rapproché le bundler compartment-mapper d'une utilisation concrète sur de vrais projets, et une première preuve de concept du support CommonJS a passé ses tests avec succès.
Le groupe de travail sur la sécurité de Node.js propose un modèle de permissions aligné avec LavaMoat
Le groupe de travail sur la sécurité de Node.js a préparé une première proposition de modèle de permissions pour compléter son système de politiques existant. L'objectif est similaire à celui de LavaMoat : réduire l'accès système exposé aux codes tiers semi-fiables. L'approche proposée ressemble au système de permissions de Deno en configurant l'accès système au niveau du processus, tandis que LavaMoat permet une isolation plus granulaire en configurant l'accès au niveau du package au sein d'un processus. Une fois que le modèle de permissions de Node.js sera mature et déployé, il devrait pouvoir être utilisé conjointement avec LavaMoat pour une protection renforcée de la chaîne d'approvisionnement.
Le groupe Lazarus distribue le malware AppleJeus via de fausses applications crypto
Le groupe Lazarus de Corée du Nord a été repéré en train de distribuer une nouvelle variante du malware AppleJeus via de fausses applications et sites web de cryptomonnaies, où un utilisateur peu méfiant pourrait télécharger le malware par inadvertance. L'activité a été signalée par Volexity et relayée par The Hacker News le 5 décembre 2022.
Une arnaque d'ingénierie sociale dérobe 14 Bored Apes pour 1,07 million de dollars
L'analyste en sécurité Serpent a documenté une arnaque d'ingénierie sociale d'un mois ayant permis de voler 14 NFT BAYC d'une valeur de plus de 852 ETH (1,07 million de dollars) à un seul collectionneur, partageant cette analyse le 17 décembre 2022. L'ingénierie sociale est restée l'un des outils les plus efficaces des acteurs malveillants tout au long de l'année, avec des arnaques élaborées comme celle-ci se déroulant sur des semaines plutôt que des minutes.
Le programme de bug bounty HackerOne construit un réseau de plus de 100 chercheurs en 2022
Grâce à son programme de bug bounty HackerOne, MetaMask a développé des relations avec plus de 100 chercheurs uniques qui ont contribué à identifier de nombreuses vulnérabilités tout au long de l'année, améliorant ainsi la sécurité des utilisateurs. Le programme a continué d'accueillir de nouveaux participants en quête de primes.
PhishFort détecte 19 571 attaques de phishing utilisant la marque MetaMask en 2022
Au cours de l'année, PhishFort a détecté 19 571 attaques utilisant la marque MetaMask, et au cours des 30 derniers jours, a réussi à démanteler 1 873 campagnes. MetaMask a également mis en place des initiatives de blocage des sites de phishing connus dans l'extension de navigateur et l'application mobile, couvrant l'usurpation de l'identité de MetaMask et d'autres marques web3. La liste de blocage est détenue et gérée par Consensys/MetaMask et mise à jour plusieurs fois par jour.
MetaMask et Laconic lancent l'initiative anti-phishing MobyMask
MetaMask a présenté MobyMask, une nouvelle initiative visant à protéger proactivement les utilisateurs contre le phishing, qui s'appuie sur un réseau de confiance dynamique pour identifier les signaleurs de phishing, développée avec l'aide de Laconic.
Le rapport de sécurité crypto de MetaMask pour décembre 2022 a couvert la nouvelle variante du malware AppleJeus du groupe Lazarus distribuée via de fausses applications crypto, une arnaque d'ingénierie sociale d'un mois ayant dérobé 14 Bored Apes pour une valeur de 1,07 million de dollars, ainsi qu'un bilan de fin d'année englobant la protection de LavaMoat contre la confusion de binaires, les démantèlements de phishing par PhishFort et le lancement de l'initiative anti-phishing MobyMask. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir davantage de menaces, de tendances et de conseils pour rester en sécurité dans l'écosystème.
