Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En juillet 2022, le projet LavaMoat a publié trois outils expérimentaux de défense pour navigateur — Securely, Snow et Across — afin de contrer la pollution de prototype et les attaques JavaScript cross-realm, tandis que le projet Endo a clôturé sa feuille de route de longue date concernant la prise en charge de CommonJS. Du côté des menaces, le chercheur en sécurité de MetaMask harry.eth a signalé un faux airdrop $UNI ayant piégé 73 399 fournisseurs de liquidités Uniswap pour environ 8 millions de dollars, ainsi qu'une arnaque sur YouTube faisant la promotion de faux bots MEV de frontrunning dont les contrats Solidity obfusqués vidaient les ETH déposés. MetaMask a également publié un guide pour éviter les arnaques NFT sur Discord, Twitter et Telegram, et son programme de bug bounty sur HackerOne a continué d'accepter des signalements. L'analyse complète se trouve ci-dessous, mais d'abord...
À la une : Ralph Merkle, pionnier des STEM et inventeur du hachage cryptographique et des arbres de Merkle
Ralph Merkle a co-inventé la cryptographie à clé publique aux côtés de Whitfield Diffie et Martin Hellman dans les années 1970, et a conçu de manière indépendante les puzzles de Merkle alors qu'il était étudiant en licence à UC Berkeley. Sa thèse de doctorat soutenue à Stanford en 1979 a introduit les arbres de Merkle (arbres de hachage) et la construction de Merkle-Damgård, qui constitue le fondement des fonctions de hachage utilisées dans la vérification blockchain, les signatures numériques et les contrôles d'intégrité dont dépendent les logiciels de portefeuille auto-custodial. Merkle a reçu la médaille IEEE Richard W. Hamming en 2010 et a été intronisé au National Inventors Hall of Fame en 2011.
LavaMoat lance Securely, Snow et Across pour la défense JavaScript au niveau du navigateur
Le projet open-source LavaMoat de MetaMask a publié 3 outils expérimentaux conçus pour protéger les applications basées sur navigateur contre les attaques de la chaîne d'approvisionnement JavaScript :
Securely préserve l'accès exclusif aux API natives du navigateur (telles que fetch), même si du code tiers s'exécutant dans le même contexte d'exécution les a altérées via une pollution de prototype ou des techniques de type man-in-the-browser (MITB). Snow intercepte chaque iframe ou realm nouvellement créé au sein d'une application web et applique la même politique de sécurité que celle imposée à la fenêtre de niveau supérieur, éliminant ainsi une technique courante des attaquants consistant à créer de nouveaux iframes pour obtenir des références d'API non altérées. Snow est construit sur Securely. Across établit un canal de communication sécurisé entre deux scripts attachés au même DOM, identifiés par leur URL source, sans nécessiter d'intermédiaire côté serveur. Across utilise à la fois Securely et Snow pour protéger le canal.
Les trois outils ont été publiés à titre expérimental. Des démonstrations sont disponibles pour Securely, Snow et Across.
Endo clôture la feuille de route de prise en charge de CommonJS avec des correctifs finaux
Le projet Endo a fusionné les derniers correctifs pour la prise en charge des modules CommonJS et a clôturé le ticket de suivi de la prise en charge CommonJS (endojs/endo #1055) ouvert depuis début 2022. Les travaux en cours sur la spécification des modules TC39 ont soulevé des questions quant à la nécessité pour les chargeurs de modules virtualisés de prendre en charge l'importation de modules CommonJS avec des exigences spécifiques de getter et setter. Des recherches supplémentaires dans ce domaine pourraient entraîner des modifications de la prise en charge CommonJS d'Endo ou le positionner comme antériorité pour la spécification.
Un faux airdrop $UNI piège 73 399 adresses de LP Uniswap
Le 11 juillet 2022, notre chercheur en sécurité harry.eth a signalé une campagne de phishing ayant envoyé un token malveillant à 73 399 adresses ayant fourni des liquidités sur Uniswap, en se faisant passer pour un airdrop $UNI. L'attaque provenait de l'adresse 0xcf39b7793512f03f2893c16459fd72e65d2ed00c et a débuté environ deux heures avant sa détection. Les utilisateurs ayant interagi avec le token étaient invités à signer une transaction setApprovalForAll(), accordant à l'attaquant l'accès pour vider leurs positions LP. La campagne a finalement extrait environ 8 millions de dollars de ses victimes. La vulnérabilité ne se trouvait pas dans le protocole Uniswap lui-même.
Des tutoriels YouTube sur des bots MEV de frontrunning utilisés pour voler des cryptos
En juillet 2022, notre chercheur en sécurité harry.eth a également signalé une arnaque sous forme de tutoriel circulant sur YouTube, cumulant 97 000 vues sur une chaîne comptant 26 400 abonnés. Ces vidéos, généralement intitulées « Comment gagner XXX $/jour sur Uniswap », instruisaient les utilisateurs à déployer un contrat Solidity présenté comme un bot MEV de frontrunning. Le contrat déployé contenait du code obfusqué qui, une fois financé, transférait directement les ETH déposés vers le portefeuille de l'attaquant. L'arnaque exploitait la terminologie légitime du MEV pour paraître crédible.
MetaMask publie un guide pour éviter les arnaques NFT
Nous avons publié un article d'aide sur comment éviter les arnaques NFT, couvrant les vecteurs d'attaque courants sur Discord, Twitter et Telegram, où les arnaqueurs exploitent les canaux communautaires NFT pour piéger les détenteurs. L'article aborde les liens de mint malveillants, les fausses annonces d'airdrop, les comptes de gestionnaires de communauté compromis et l'ingénierie sociale par messages privés. Les conseils clés incluent la vérification des URL par rapport aux sites officiels des projets, la désactivation des messages privés dans les Discords communautaires, et le fait de considérer tout NFT inattendu dans un portefeuille comme un potentiel vecteur de phishing.
Mise à jour du programme de bug bounty HackerOne
Notre programme de bug bounty sur HackerOne a continué d'accepter des signalements couvrant l'extension MetaMask (dépôt GitHub) et MetaMask Mobile (dépôt GitHub).
Le rapport de sécurité crypto de MetaMask pour juillet 2022 a couvert le lancement par LavaMoat de trois outils expérimentaux de défense pour navigateur — Securely, Snow et Across — ciblant la pollution de prototype et les attaques JavaScript cross-realm, un faux airdrop $UNI ayant piégé plus de 73 000 adresses LP Uniswap pour environ 8 millions de dollars, ainsi que des arnaques de tutoriels de bots MEV sur YouTube utilisant des contrats Solidity obfusqués pour vider les ETH déposés. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
