Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En mars 2023, les équipes Endo et LavaMoat ont revu leur approche du bundling sécurisé — abandonnant une expérience de webpack-transform au profit d'un webpack loader — tout en étendant le scuttling global aux child realms et en relançant le support React Native pour l'application mobile MetaMask. MetaMask a également partagé deux conférences de la saison EthDenver : le co-fondateur Dan Finlay sur Delegatable, et le chercheur en sécurité Gal Weizman sur les JavaScript realms et Snow. La leçon la plus claire du mois reste toutefois la prudence face aux airdrops : les arnaques ont explosé autour de la claim Arbitrum, où environ 2 400 wallets ont été compromis en amont, des escrocs ont exploité une fausse capture d'écran d'airdrop MetaMask pour attirer les utilisateurs vers des sites de phishing, et des arnaques imitatrices ont ciblé Polkadot, Shiba Inu ainsi qu'un faux token OpenAI. Le détail complet est ci-dessous, mais d'abord...
Pionnière STEM à l'honneur : Faith Lillibridge, opératrice du supercalculateur NORC de Columbia
Faith Lillibridge est photographiée à la console du NORC (Naval Ordnance Research Calculator) au cinquième étage du Watson Scientific Computing Laboratory de l'Université Columbia, en 1954. Construit par IBM pour la Marine américaine, le NORC était, lors de son inauguration en 1954, l'ordinateur le plus puissant au monde. Les opérateurs qui faisaient fonctionner ces premières machines transformaient un matériel grand comme une salle en calculs fiables et reproductibles — un travail rigoureux et précis qui reste aujourd'hui encore le fondement de tout système digne de confiance.
Endo abandonne son approche webpack-transform et ajoute exitModuleImportHook pour lavamoat-node
Les tentatives d'Endo de s'intégrer aux transforms webpack sans compromettre les instructions import/export d'origine se sont révélées infructueuses, à moins de déconstruire webpack pour l'utiliser comme framework de construction d'un bundler. Endo a décidé d'abandonner cette démarche et d'explorer une solution plus simple, en expérimentant une nouvelle méthode dans la boîte à outils open source LavaMoat. Par ailleurs, la dernière mise à jour du compartment-mapper d'Endo a ajouté exitModuleImportHook, qui permet l'importation dynamique de modules de sortie sans nécessiter une liste prédéfinie — la dernière fonctionnalité majeure nécessaire pour que compartment-mapper serve de backend à lavamoat-node. La whitelist SES d'Endo a également reçu une mise à jour mineure pour React Native Android JSC dans endojs/endo #1511, résolvant un problème de longue date issue #660 (plus récemment suivi dans LavaMoat/docs #16) et examiné plus en détail dans React Native JSC build scripts issue #181.
LavaMoat teste un webpack loader et étend le scuttling global aux child realms
LavaMoat a commencé à explorer une approche alternative du bundling sécurisé en utilisant un webpack loader pour implémenter la compartimentation, en ajoutant le runtime ultérieurement. Comme les couches situées au-dessus des loaders restent inchangées, la plupart des fonctionnalités telles que le tree-shaking continuent de fonctionner ; le principal risque est que des plugins personnalisés puissent modifier le code de manière imprévue. La fonctionnalité de sécurité scuttling peut désormais être appliquée à tous les child realms de même origine potentiels (comme les iframes) en configurant l'option expérimentale « scuttleGlobalThis » conjointement avec Snow (progression ici). Une mise à jour mineure des exemples LavaMoat Browserify a été intégrée dans LavaMoat/LavaMoat #476.
LavaMoat relance le support React Native pour l'application mobile MetaMask
Le support React Native a été ressuscité, en repartant de l'intégration du lockdown Endo SES — ciblant initialement RN v0.66.5 et désormais RN v0.71.4 — avec l'intégration dans l'application mobile MetaMask en cours. La progression est suivie dans l'epic LavaMoat React Native.
Dan Finlay présente « Better Dapps with Delegatable » à EthDenver
Dan Finlay a fait ses débuts à EthDenver en 2023 avec une conférence sur Delegatable, partageant une vision de la façon dont la délégation peut rendre la création d'applications décentralisées plus sûre et plus simple. Comme il l'a exprimé : « Beaucoup de gens réclament des airdrops et se font ensuite voler tout leur argent… Delegatable vous permet de faire tout ce que vous pouvez faire sur un contrat vers un autre compte. Il dispose d'un système de caveats ouvert qui vous permet de restreindre la capacité que vous partagez de la manière que vous souhaitez. Et cela peut vous permettre de garder vos hot wallets plus froids en limitant ce qu'ils peuvent faire, tout en leur permettant d'agir on chain. »
Gal Weizman présente « JS Realms, Security Blank Spot »
Gal Weizman a donné une conférence sur les dangers croissants des attaques de la chaîne d'approvisionnement liées aux dépendances, et sur la façon dont Snow JS peut aider à combler les lacunes. Les sujets abordés incluaient l'évolution du web, l'importance de la sécurité et de la visibilité, les solutions tierces, les JavaScript realms et Snow JS.
Les arnaques aux airdrops explosent alors que des hackers se font passer pour , avec une fausse capture d'écran MetaMask utilisée pour phisher les utilisateurs
Les activités douteuses autour des airdrops ont fortement augmenté en mars 2023. Le mois précédent, MetaMask avait publié un aperçu des dangers des rugpulls et arnaques aux airdrops, rappelant aux utilisateurs que les offres d'« argent gratuit » sont un leurre courant utilisé par les acteurs malveillants. C'est exactement ce qui s'est produit lorsque des escrocs ont diffusé sur les réseaux sociaux une fausse affirmation selon laquelle MetaMask prendrait une capture d'écran ou organiserait un airdrop le 31 mars — un leurre conçu pour diriger les utilisateurs vers des sites de phishing qui volent les fonds de quiconque tente de réclamer les tokens inexistants. MetaMask a dénoncé l'arnaque et alerté la communauté le 29 mars 2023, avertissant que la fausse affirmation était « non seulement fausse, mais… dangereuse » précisément parce qu'elle crée des opportunités pour les escrocs et les phishers ciblant les actifs des utilisateurs. Des arnaques aux airdrops imitatrices se faisant passer pour Polkadot, Shiba Inu et un faux token OpenAI DeFi (GPT-4) ont utilisé le même mode opératoire tout au long du mois.
Environ 2 400 wallets ciblés avant l'airdrop Arbitrum
Quelques jours avant l'airdrop Arbitrum, Arkham a rapporté le 20 mars 2023 qu'un hacker avait passé les 12 heures précédentes à envoyer des fonds à environ 2 400 wallets présumés compromis, qui ont ensuite approuvé le token ARB en anticipation de la claim, depuis l'adresse 0x59d4...fb19. Dans la foulée, CoinDesk a couvert tout ce qui peut mal tourner dans son article « Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be. »
Exposition de la clé API globale Cloudflare : avertissement pour les équipes web3
La chercheuse en sécurité de MetaMask Taylor Monahan (@tayvano_) a exhorté les équipes utilisant Cloudflare pour un produit web3 à agir immédiatement le 24 mars 2023 : faire pivoter la clé API globale pour tous les comptes, et supprimer tout compte ajouté à Cloudflare dont la clé API globale n'avait pas encore été renouvelée. La clé API globale héritée offre un accès complet au compte, rendant son exposition particulièrement dangereuse.
Une invitation à une « conférence » dans le métaverse utilisée comme leurre d'ingénierie sociale
The Trading Uncle (@thetradingunc) a documenté une tentative d'ingénierie sociale le 14 mars 2023 dans laquelle un compte a envoyé un message direct félicitant la cible pour son contenu et l'invitant à intervenir lors d'une « conférence » dans le métaverse aux côtés d'autres intervenants — une approche conçue pour mettre la cible en confiance avant de l'escroquer.
Le rapport de sécurité crypto de MetaMask pour mars 2023 a couvert une explosion des arnaques aux airdrops — notamment une fausse capture d'écran MetaMask utilisée pour phisher les utilisateurs —, environ 2 400 wallets compromis avant l'airdrop Arbitrum, et un avertissement concernant la clé API globale Cloudflare pour les équipes web3. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
