Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
Le grand sujet de ce mois-ci : nos chercheurs Taylor Monahan et Harry Denley ont poursuivi l'enquête sur un hack multichain d'environ 10 millions de dollars qui a vidé les portefeuilles d'environ 300 utilisateurs crypto de longue date dont les Secret Recovery Phrases avaient été exposées. La FTC a également mis en garde contre des e-mails de phishing se faisant passer pour des entreprises crypto, et une liste de contrôle pratique pour enquêter sur le vidage de portefeuilles a circulé. Du côté technique, LavaMoat a fusionné 27 mises à jour de dépendances et fait avancer son plugin ScorchWrap, le renforcement de MetaMask Mobile et la fonctionnalité de « scuttling » ; Endo a amélioré la gestion des erreurs CommonJS ; et la conférence « Eval all the Strings! » sur le JavaScript renforcé de Zbigniew Tenerowicz est désormais disponible en ligne. L'analyse complète se trouve ci-dessous, mais d'abord...
À la une : Ada Lovelace, pionnière des STIM et première programmatrice informatique
Ada Lovelace (1815–1852) était une mathématicienne anglaise considérée comme la première programmatrice informatique pour ses travaux sur le projet de machine analytique de Charles Babbage, notamment un algorithme de calcul des nombres de Bernoulli. Elle avait également prévu qu'une telle machine pourrait accomplir bien plus que de simples calculs. Cette exigence précoce de logique précise et vérifiable est la même discipline dont dépend encore aujourd'hui la sécurité logicielle digne de confiance.
Mise à jour LavaMoat : 27 pull requests de dépendances, ScorchWrap, verrouillage mobile et scuttling
LavaMoat a fusionné 27 pull requests individuelles avec des mises à jour de dépendances dans ses packages, incluant des correctifs pour des vulnérabilités connues, et a publié des versions mineures avec des dépendances mises à jour et des correctifs de compatibilité Node.js 18. Les travaux sur le plugin webpack ScorchWrap ont avancé, avec des progrès sur l'intégration du runtime dans le bundle lui-même et des découvertes concernant la compatibilité avec d'autres plugins. Notre équipe a également poursuivi ses efforts pour étendre les protections de la chaîne d'approvisionnement de LavaMoat à MetaMask Mobile — afin qu'une dépendance compromise ne puisse pas accéder aux API sensibles du navigateur. Dans ce cadre, l'équipe a résolu des exceptions non interceptées (TypeErrors levées par des bibliothèques comme ethjs) qui apparaissaient lors du débogage sous Chrome V8. Des travaux connexes ont fait avancer le « scuttling », une fonctionnalité qui désactive l'accès aux variables globales courantes dans toute la fenêtre lorsque les dotations d'un package seraient autrement trop étendues.
Endo améliore son erreur de module manquant CommonJS dans compartment-mapper
Endo a amélioré l'erreur de module manquant CommonJS dans son compartment-mapper, rendant les échecs plus clairs lorsqu'un module requis est introuvable.
La conférence « Eval all the Strings! » de Zbigniew Tenerowicz sur le JavaScript renforcé
Zbigniew Tenerowicz (ZB) de MetaMask a donné une conférence concise intitulée Eval all the Strings! au Node Congress de Berlin en avril 2023. En un peu plus de 7 minutes, ZB a présenté Secure ECMAScript (SES) et les Compartments — deux propositions TC39 — ainsi que les outils qu'il développe pour les rendre utilisables. En ses propres mots : « SES + outillage (LavaMoat ou Endo) permet de limiter l'accès au réseau, au système de fichiers, aux modules core ou aux variables globales, par package… Pour moi, c'est l'étape finale pour sécuriser la chaîne d'approvisionnement npm — même si un package est pris en main par des acteurs malveillants, il ne pourra pas me nuire. »
« Cette conférence porte sur SecureEcmaScript et les Compartments, qui sont des propositions TC39, et je travaille sur des outils pour rendre ces concepts utilisables avec les personnes qui défendent ces propositions. C'est un témoignage direct sur l'avenir de la sécurité JavaScript. SES + outillage (LavaMoat ou Endo) permet de limiter l'accès au réseau, au système de fichiers, aux modules core ou aux variables globales, par package. Je veux montrer comment ils fonctionnent, quelles possibilités ils ouvrent et comment concrétiser cet avenir dès aujourd'hui avec un certain effort. Pour moi, c'est l'étape finale pour sécuriser la chaîne d'approvisionnement npm — même si un package est pris en main par des acteurs malveillants, il ne pourra pas me nuire. »
The Defiant : Taylor Monahan de MetaMask explique un hack multichain de 10 millions de dollars
Dans une interview accordée à The Defiant, la chercheuse en sécurité de MetaMask Taylor Monahan a expliqué le hack multichain qu'elle et son collègue Harry Denley ont commencé à investiguer en avril 2023 — une offensive massive ciblant des utilisateurs crypto de longue date — ainsi que des conseils pour rester en sécurité et une discussion sur le « code is law » et « la blockchain est immuable ». Les attaquants ont utilisé une méthode inhabituelle, en échangeant les actifs volés directement dans le portefeuille de la victime avant de les envoyer vers un échange décentralisé (DEX). La façon dont les attaquants ont compromis les portefeuilles d'environ 300 personnes dont les Secret Recovery Phrases avaient été exposées reste inconnue, et il est supposé que l'attaque n'a pas été menée par des méthodes de phishing classiques. Parmi les recommandations de Monahan pour renforcer sa sécurité : utiliser un hardware wallet et décentraliser ses avoirs sur plusieurs portefeuilles.
Une liste de contrôle pour enquêter sur le vidage d'un portefeuille, par Jon_HQ
Si un portefeuille se fait vider, comprendre comment l'attaque s'est produite ne nécessite pas d'être chercheur en sécurité. L'utilisateur Twitter Jon_HQ a publié une liste de contrôle détaillée sur Twitter, partagée le 5 mai 2023, qui présente les étapes à suivre lors d'une enquête sur un vidage de portefeuille — à mettre en favoris pour référence.
La FTC avertit que les e-mails urgents de sociétés crypto sont des arnaques de phishing
Une alerte aux consommateurs de la Federal Trade Commission (FTC) a mis en garde le public contre les messages semblant provenir de services liés aux cryptomonnaies. Face à tout e-mail non sollicité, la FTC déconseille d'agir rapidement, quel que soit le contenu du message — créer un faux sentiment d'urgence est une tactique d'arnaque classique visant à court-circuiter le sens critique — et recommande de ne pas cliquer sur les liens dans les e-mails non sollicités et de maintenir les logiciels de sécurité à jour. Les e-mails de phishing provenant d'imposteurs se faisant passer pour MetaMask peuvent être signalés à l'adresse https://support.metamask.io/chat.
Les arnaqueurs se font fréquemment passer pour des marques crypto de confiance, en créant des sites web, des e-mails et des profils de réseaux sociaux imitateurs pour inciter les utilisateurs à céder l'accès à leur compte. Pour vous aider à rester protégé, notre base de connaissances d'assistance explique comment reconnaître le vrai MetaMask et comment s'assurer d'utiliser le bon canal d'assistance.
Le rapport de sécurité crypto de MetaMask pour mai 2023 a couvert la poursuite de l'enquête de Taylor Monahan sur un hack multichain de 10 millions de dollars ciblant des utilisateurs crypto de longue date, une alerte de la FTC sur des e-mails de phishing se faisant passer pour des entreprises crypto, et la conférence « Eval all the Strings! » de Zbigniew Tenerowicz sur le JavaScript renforcé. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
