Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En novembre 2022, LavaMoat a déployé Snow et le « global scuttling » en production pour tous les utilisateurs, y compris l'extension MetaMask, accompagnés d'une version SES avec quadruple backflip, d'un domaine taming pour Node.js et d'une première mesure d'atténuation contre les attaques par confusion de binaires. Parallèlement, Endo a prototypé un bundler généraliste et l'équipe Threat Intelligence a lancé une base de données d'incidents DeFi basée sur STIX. Du côté communautaire, MetaMask a partagé la conférence Devcon de Kumavis sur la sécurité de la chaîne d'approvisionnement JavaScript, Gal Weizman a plaidé pour l'intégration de Snow dans l'extension, et un Twitter Space a exploré comment les Snaps peuvent renforcer la self-custody dans le sillage de l'effondrement de FTX. Le mois s'est clôturé sur des mises en garde : hameçonnage via Google Ads et Google Sites, une extension Chrome malveillante diffusée via de fausses mises à jour Flash Player, et des arnaques aux bots de trading sur Telegram. Le bilan complet est ci-dessous, mais d'abord...
Pionnière STEM à l'honneur : Daphne Oram, pionnière de la musique électronique et cofondatrice du BBC Radiophonic Workshop
Daphne Oram (1925–2003) a cofondé le BBC Radiophonic Workshop en 1958 et a été la pionnière d'une technique qu'elle a baptisée Oramics, consistant à dessiner directement des formes sur pellicule pour synthétiser des sons. Son travail de traduction de motifs dessinés à la main en signaux précis préfigurait le type de réflexion sur les signaux et les patterns qui sous-tend la façon dont les logiciels de portefeuille self-custodial vérifient les données. Tout au long de sa carrière, Oram a défendu l'idée que des outils hautement techniques pouvaient être rendus expressifs et accessibles aux non-spécialistes.
LavaMoat déploie Snow et le global scuttling dans l'extension MetaMask
Novembre 2022 a marqué un déploiement en production majeur pour LavaMoat. Snow (sécurité récursive des iframes et des realms) et le global scuttling (suppression des références globales d'origine après capture basée sur des politiques) ont été mis en production pour tous les utilisateurs de LavaMoat, y compris l'extension MetaMask. Une version SES avec « quadruple backflip » intégrant plusieurs mises à jour importantes a été introduite dans LavaMoat pour la prochaine version, notamment le domain taming dans Node.js — notable car certains packages utilisent encore le module domain de Node, pourtant déprécié depuis longtemps. La version initiale de l'atténuation des attaques par confusion de binaires a été fusionnée dans @lavamoat/allow-scripts, et sera disponible derrière un flag dans la prochaine version. Une nouvelle CLI permettant de configurer tous les outils LavaMoat dans un dépôt via quelques questions guidées était également en cours de développement.
Endo prototype un bundler généraliste sur son compartment mapper
Le projet Endo a expérimenté l'utilisation d'Endo pour alimenter un bundler, en construisant un proof-of-concept de bundler généraliste par-dessus son compartment mapper. Ce travail a déclenché toute une série de fonctionnalités et d'améliorations dans la base de code d'Endo, notamment la correction d'un bug dans la gestion des réexportations nommées.
L'équipe Threat Intelligence de MetaMask crée une base de données d'incidents DeFi sur STIX
L'équipe Threat Intelligence de MetaMask a commencé à travailler sur un référentiel de données standardisé pour les incidents dans l'espace de la finance décentralisée (DeFi). Les enregistrements utilisent le langage STIX (Structured Threat Information Expression), avec pour objectif de constituer une source de vérité fournissant des informations aussi bien aux spécialistes qu'aux passionnés qui suivent les incidents de sécurité DeFi.
Kumavis, cofondateur de MetaMask, présente sa conférence sur la sécurité de la chaîne d'approvisionnement JavaScript à Devcon 2022
Kumavis a présenté une conférence à Devcon 2022 intitulée The Attacker is Inside, consacrée à la sécurité de la chaîne d'approvisionnement JavaScript. Il a expliqué comment fonctionnent les attaques sur la chaîne d'approvisionnement logicielle dans les écosystèmes JavaScript et crypto — où chaque projet s'appuie sur des ressources open source partagées — et comment LavaMoat, l'outil gratuit et open source de MetaMask, protège les utilisateurs et leurs portefeuilles.
Gal Weizman plaide pour l'intégration de Snow dans l'extension MetaMask
Le contributeur LavaMoat Gal Weizman a publié « Integrating Snow into MetaMask », plaidant pour le déploiement de la technologie de sécurité navigateur Snow directement dans l'extension navigateur MetaMask. Snow impose la propriété récursive des realms sur tous les iframes, fermant ainsi la surface d'attaque où des realms de navigateur nouvellement créés sont utilisés pour accéder à des références API non altérées et contourner les politiques appliquées à la fenêtre de niveau supérieur.
Dans le sillage de l'effondrement de FTX, un Twitter Space organisé par MetaMask a réuni Christian Montoya (MetaMask), Zen Yong (Web3Auth) et Chirag Titiya (Biconomy) pour discuter de la façon dont l'innovation sans permission via MetaMask Snaps peut aider les utilisateurs à prendre le contrôle de leurs propres fonds et à mieux protéger leurs Secret Recovery Phrases. Comme l'a formulé Zen Yong, l'événement FTX « aurait eu moins d'impact sur la crypto en général si davantage de personnes pratiquaient la self-custody ». Montoya a souligné que l'objectif est de permettre aux développeurs d'intégrer de nouvelles options de gestion de compte dans MetaMask — offrant aux nouveaux utilisateurs des choix plus simples et plus sûrs, réduisant ainsi le risque de perdre une clé ou de voir un compte compromis.
Google Ads et Google Sites utilisés pour héberger des pages de phishing ciblant les portefeuilles crypto
Des campagnes de phishing ont continué à exploiter l'infrastructure de Google pour cibler les utilisateurs de portefeuilles crypto. The Verge a précédemment documenté comment des hameçonneurs utilisent Google Ads pour soutirer des cryptos aux utilisateurs, et ces derniers doivent également se méfier des URL commençant par « sites.google. ». Comme l'a rapporté Mashable, des escrocs ont également réussi à créer des sites de phishing sur Google Sites, en copiant le design de sites de confiance pour inciter les utilisateurs à saisir des informations sensibles.
Une extension Chrome malveillante se propage via de fausses mises à jour d'Adobe Flash Player
BleepingComputer a rapporté l'existence d'une extension Chrome malveillante qui donne aux attaquants le contrôle à distance d'un navigateur. Cette extension n'est pas disponible sur le Chrome Web Store officiel et circule à la place via des canaux alternatifs, comme des sites web proposant de fausses mises à jour d'Adobe Flash Player. Le message à retenir pour les utilisateurs : évitez d'installer des extensions de navigateur ou des « mises à jour » provenant de sources non officielles.
Des arnaques aux bots de trading sur Telegram mettent les clés de portefeuille en danger
Des avertissements ont circulé sur les réseaux sociaux en novembre 2022 concernant des activités malveillantes sur Telegram et des bots de trading. L'utilisateur Twitter Big D a signalé un cheval de Troie se propageant via Telegram, pouvant se télécharger sur un téléphone via un paramètre automatique facile à manquer, tandis qu'une autre analyse a examiné comment les clés privées des utilisateurs peuvent être exposées au sein des bots de trading. L'adoption des bots de trading est en hausse, mais leur accorder un accès au portefeuille peut mettre les fonds en danger.
Le rapport de sécurité crypto de MetaMask pour novembre 2022 a couvert le déploiement en production par LavaMoat de Snow et du global scuttling dans l'extension MetaMask, un Twitter Space sur la façon dont les MetaMask Snaps peuvent renforcer la self-custody dans le sillage de l'effondrement de FTX, ainsi que des mises en garde portant sur le phishing via Google Ads et Google Sites, une extension Chrome malveillante et des arnaques aux bots de trading sur Telegram. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
