Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En janvier 2023, LavaMoat de MetaMask a enrichi sa boîte à outils de sécurité — en introduisant LavaTube pour l'analyse récursive des graphes d'objets, en ajoutant un explorateur de dépendances en VR, en intégrant le global scuttling dans la branche de développement de l'extension MetaMask, et en livrant la compatibilité multi-navigateurs pour Snow — tandis qu'Endo soumettait son support de politique de style LavaMoat à une révision finale. Du côté des menaces, les arnaques par empoisonnement d'adresses ont gagné du terrain en semant dans l'historique des transactions des victimes des adresses quasi identiques, des chercheurs en sécurité ont mis en lumière la réentrance en lecture seule comme nouveau vecteur d'attaque DeFi, et des avertissements ont circulé concernant des chevaux de Troie d'accès à distance dissimulés dans de faux téléchargements de jeux ainsi qu'une faille Chrome exploitée via de faux sites de wallets. L'analyse complète est ci-dessous, mais d'abord...
À la une des pionnières STEM : Joan Clarke, cryptanalyste de Bletchley Park et praticienne du Banburismus
Joan Clarke (1917–1996) est la seule femme connue à avoir pratiqué le Banburismus — le processus cryptanalytique bayésien séquentiel développé par Alan Turing pour réduire la charge de travail des machines de déchiffrement Enigma à Bletchley Park pendant la Seconde Guerre mondiale. La capacité de Clarke à détecter de subtils schémas statistiques dans des données apparemment aléatoires fait écho au défi auquel sont confrontés les utilisateurs de wallets en auto-conservation, qui doivent distinguer les adresses légitimes des contrefaçons quasi identiques lors d'attaques par empoisonnement d'adresses. Clarke a reçu un MBE en 1946 pour ses contributions au renseignement en temps de guerre.
Les arnaques par empoisonnement d'adresses utilisent des adresses de wallets quasi identiques pour tromper les utilisateurs
L'empoisonnement d'adresses s'est imposé comme technique d'arnaque à l'approche de 2023. Les attaquants génèrent des adresses de wallets partageant les mêmes premiers et derniers caractères que les contacts légitimes d'une cible, puis envoient des transferts de tokens à valeur nulle ou négligeable vers cette cible. Ces transactions apparaissent dans l'historique des transactions de la victime, et lorsque celle-ci copie ultérieurement une adresse depuis cet historique — en se fiant à la correspondance des premiers et derniers caractères plutôt qu'en vérifiant la chaîne complète — elle envoie sans le savoir des fonds à l'attaquant. L'arnaque exploite l'impossibilité pratique de mémoriser des adresses hexadécimales complètes de 42 caractères et l'habitude courante de ne vérifier que le début et la fin des adresses.
Note de la rédaction : La détection d'empoisonnement d'adresses MetaMask est désormais disponible pour tous les utilisateurs.
La réentrance en lecture seule émerge comme vecteur d'attaque DeFi ciblant les oracles de prix
La réentrance en lecture seule — une variante de l'attaque classique par réentrance — a suscité une attention croissante parmi les développeurs Solidity en janvier 2023. Contrairement à la réentrance traditionnelle, qui cible les fonctions modifiant l'état, la réentrance en lecture seule exploite les fonctions view qui rapportent des prix ou des soldes. Pendant une fenêtre de callback au sein d'une transaction modifiant l'état, un attaquant déclenche une lecture sur une fonction view qui renvoie des données obsolètes ou incohérentes, et les protocoles s'appuyant sur ces valeurs pour leurs oracles de prix ou leurs calculs de collatéral agissent alors sur des prix manipulés. Le chercheur en sécurité bytes032 a publié un fil très partagé le 20 janvier 2023 détaillant la vulnérabilité, diffusé via le Web3Security DAO nouvellement créé.
LavaTube permet la traversée récursive des graphes d'objets JavaScript pour la recherche en sécurité
LavaMoat a introduit @lavamoat/lavatube, un outil qui visite récursivement chaque propriété de chaque valeur accessible depuis une référence de départ donnée dans un graphe d'objets JavaScript. L'équipe de recherche en sécurité de MetaMask utilise LavaTube pour identifier les fuites de références dangereuses — des cas où des objets ou des API censés être isolés exposent par inadvertance des chemins vers des globaux puissants ou des données sensibles dans les applications qu'ils protègent.
LavaMoat livre un explorateur de dépendances VR, le global scuttling et Snow multi-navigateurs
@lavamoat/viz a bénéficié d'un nouveau mode VR permettant aux développeurs d'explorer le graphe de dépendances de leur projet dans un environnement tridimensionnel immersif. Par ailleurs, le global scuttling — qui supprime les fonctions natives puissantes de la fenêtre après que LavaMoat les a capturées pour les doter de politiques — a été intégré dans la branche de développement de l'extension MetaMask. Une fois déployé, même un composant React malveillant accédant à la fenêtre ne trouverait plus les fonctions puissantes. @lavamoat/snow, l'outil de sécurité des realms de LavaMoat, a également ajouté la prise en charge de tous les principaux navigateurs dans sa dernière version, offrant à MetaMask une visibilité complète sur tous les realms, aussi bien sur Chrome que sur Firefox.
Endo approche du support de politique de style LavaMoat avec un bundler sécurisé en révision
Le projet Endo a soumis à révision finale sa première itération du support de politique de style LavaMoat. Des fonctionnalités mineures restaient à implémenter pour une parité complète avec les politiques LavaMoat, mais aucune modification incompatible n'était prévue. Une première implémentation d'un bundler sécurisé contrôlant les portées sans recourir à eval — éliminant ainsi une surface d'attaque courante dans les systèmes de modules JavaScript — était également en cours de révision.
De faux téléchargements de jeux signalés comme vecteur de chevaux de Troie d'accès à distance
Le 17 janvier 2023, le chercheur en sécurité de MetaMask harry.eth (@sniko_) a mis en garde contre une résurgence anticipée de chevaux de Troie d'accès à distance (RAT) distribués via de faux téléchargements de jeux. Le schéma d'ingénierie sociale implique un attaquant se faisant passer pour un représentant d'un projet de jeu metaverse, proposant des tokens gratuits en échange du « test » d'un client de jeu qui est en réalité un installateur de RAT. Une fois installé, un RAT peut donner à un attaquant un accès distant complet à l'appareil de la victime, généralement suivi d'un phishing DeFi pour vider les tokens.
Wallet Guard signale une faille Chrome exploitée via de faux sites de téléchargement de wallets
Wallet Guard a averti les utilisateurs de faire preuve de prudence lors des téléchargements après avoir documenté une vulnérabilité de Google Chrome pouvant être utilisée pour voler des données de wallets crypto. La faille, corrigée le 29 novembre 2022 dans Chrome 108, nécessitait qu'une victime visite un faux site web de wallet crypto et « télécharge » sa Phrase de Récupération Secrète, après quoi l'attaquant pouvait exploiter des fichiers de liens symboliques. Le conseil essentiel : ne téléchargez pas de fichiers aléatoires provenant de sources non fiables.
Le rapport de sécurité crypto de MetaMask pour janvier 2023 a couvert les arnaques par empoisonnement d'adresses qui sèment dans les historiques de transactions des adresses quasi identiques, la réentrance en lecture seule émergeant comme vecteur d'attaque DeFi distinct, ainsi que l'introduction par LavaMoat de LavaTube pour détecter les fuites de références dangereuses dans les graphes d'objets JavaScript. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
