Chaque mois, Luker, directeur de la sécurité chez MetaMask, fait le point sur les dernières attaques crypto et les risques émergents à connaître.
En septembre 2023, MetaMask a lancé la bêta ouverte de Snaps, apportant une sécurité personnalisable et sans permission au portefeuille. Nous avons également partagé des ressources pédagogiques sur la self-custody créées en partenariat avec Ledger, et organisé un espace « State of Security » avec Wallet Guard. Du côté des outils, LavaMoat a accéléré ses publications, ajouté la prise en charge de Node 20 et préparé ScorchWrap pour la bêta. Par ailleurs, Gal Weizman et Zbigniew Tenerowicz de MetaMask ont présenté des travaux sur le JavaScript renforcé et les browser realms lors de l'événement « Secure the Web Forward » du W3C. Sur le front des menaces, Taylor Monahan a établi un lien entre environ 35 millions de dollars de vols et des Secret Recovery Phrases stockées dans LastPass, et nous avons détaillé comment l'attaque par SIM-swap du groupe Pink Drainer a compromis le compte de Vitalik Buterin. Le bilan complet est ci-dessous, mais d'abord...
À la une : Luis von Ahn, co-inventeur du CAPTCHA
Luis von Ahn est un informaticien guatémaltèque qui a co-inventé le CAPTCHA et le reCAPTCHA — ces tests de défi-réponse qui distinguent les humains des bots et protègent les services web des abus automatisés — et qui a été le pionnier du concept de calcul humain. Il a ensuite co-fondé Duolingo. Ses travaux constituent une couche fondamentale de la sécurité web quotidienne : prouver, à moindre coût et à grande échelle, qu'il y a bien une vraie personne à l'autre bout.
MetaMask lance la bêta ouverte de Snaps, avec des Snaps de sécurité dans le répertoire
MetaMask a lancé la bêta ouverte de Snaps le 12 septembre 2023, élargissant les options de sécurité personnalisables au sein du portefeuille en fonction des préférences et des besoins des utilisateurs. Les Snaps sont des fonctionnalités développées par des développeurs tiers que les utilisateurs peuvent installer directement dans leur portefeuille (metamask.com/snaps). Cette bêta ouverte s'adresse aux utilisateurs avancés et aux early adopters comme point de départ. Plusieurs Snaps axés sur la sécurité sont déjà disponibles dans le Snaps Directory audité. Chaque Snap du répertoire officiel est examiné et validé par l'équipe MetaMask et des auditeurs externes. Dans un fil de discussion accompagnant le lancement, Christian Montoya de MetaMask Snaps a partagé des conseils de base pour optimiser la sécurité de MetaMask et mis en avant des Snaps de la bêta pouvant aider à protéger les utilisateurs contre les transactions risquées.
MetaMask et Ledger publient une leçon sur la sécurité en self-custody
MetaMask, en collaboration avec Ledger, a publié une leçon sur la sécurité web3 couvrant les responsabilités liées à la self-custody, comment éviter les vecteurs d'attaque courants, et l'importance d'utiliser un hardware wallet. Pour promouvoir cette leçon, Miles Nolan, chercheur senior en sécurité chez MetaMask, a rejoint des collègues de MetaMask et Ledger pour co-animer un X Space en direct le 20 septembre 2023.
MetaMask et Wallet Guard organisent un espace « State of Security » pour le T3
MetaMask et Wallet Guard ont organisé conjointement un X Space sur l'état de la sécurité. Ohm, Martin et Michael de Wallet Guard ont été rejoints par Marco Menozzi (MetaMask Security) et Christian Montoya (MetaMask Snaps) pour discuter de la sécurité des appareils, de l'ingénierie sociale, des violations de données, du SIM swapping, des publicités frauduleuses et de MetaMask Snaps. Wallet Guard a également partagé un récapitulatif écrit de l'enregistrement.
Les demi-finales de l'Ambassador World Cup de HackerOne : chasse aux bugs pour MetaMask, Shopify et Tinder
HackerOne a lancé les demi-finales de son Ambassador World Cup le 27 septembre 2023, avec 4 équipes en chasse aux bugs pour des partenaires dont MetaMask, Shopify et Tinder, dans le but de sécuriser leurs produits et de protéger leurs clients.
Une allowlist de calldata vise à réduire les pertes liées au DNS hijacking
Au cours des 3 dernières années, plus de 125 millions de dollars ont été dérobés via le DNS hijacking et l'injection de contenu malveillant. MetaMask adopte une solution créée par l'équipe Yearn : une allowlist de calldata sur la blockchain qui empêche les acteurs malveillants de nuire aux utilisateurs en cas de DNS hijack. L'équipe developer relations de MetaMask contacte des tiers dont la participation sera essentielle à cette initiative ; plus de détails sont disponibles dans un document public qui renvoie au dépôt proof-of-concept, ainsi qu'une courte vidéo explicative avec Miles Nolan.
Mise à jour LavaMoat : publications plus rapides, prise en charge de Node 20, bêta de ScorchWrap et lockdown mobile
Des améliorations apportées au processus de publication ont rendu les releases triviales, si bien qu'une cadence de publication plus élevée est désormais la norme. Une modification de la structure des tests leur a permis de fonctionner sur Node 20, qui est maintenant officiellement pris en charge. Le plugin ScorchWrap est prêt pour la bêta et sera annoncé lors de deux événements développeurs à distance, avec le programme bêta disponible dans les discussions LavaMoat. Le lockdown dans MetaMask Mobile fonctionne désormais et devrait être publié prochainement.
Gal Weizman et Zbigniew Tenerowicz présentent à l'événement « Secure the Web Forward » du W3C
Lors de l'événement « Secure the Web Forward » du W3C, Zbigniew Tenerowicz a présenté l'application du JavaScript renforcé à la sécurité de la chaîne d'approvisionnement pour une défense proactive, et Gal Weizman a présenté comment les JavaScript realms sont utilisés pour contourner les outils de sécurité existants des applications web. Dans un article connexe sur la « same origin concern », Weizman — qui maintient le projet Snow JS — décrit le manque de contrôle des applications sur les nouveaux realms qui apparaissent sous leur propre origine, pourquoi les efforts actuels pour y remédier sont insuffisants, et comment une solution native au navigateur pourrait apporter un correctif sécurisé et performant ; cet article a été présenté au groupe de travail sécurité du W3C ce mois-ci.
Des Secret Recovery Phrases stockées dans LastPass liées à environ 35 millions de dollars de fonds volés
Une série de vols de grande valeur représentant environ 35 millions de dollars pourrait être liée à une violation divulguée par LastPass près d'un an plus tôt. Taylor Monahan de MetaMask suit les indices depuis décembre 2022, notant que les victimes « sont toutes véritablement raisonnablement sécurisées » et « profondément intégrées dans cet écosystème » — notamment des employés d'organisations crypto réputées, des capital-risqueurs et des personnes ayant construit des protocoles DeFi, déployé des contrats et géré des nœuds complets. Le principal fil conducteur qu'elle a trouvé est que les victimes avaient utilisé LastPass pour stocker leurs Secret Recovery Phrases à un moment donné, et son conseil est sans détour : ne gardez pas tous vos actifs sous une seule clé ou phrase pendant des années — répartissez vos actifs, procurez-vous un hardware wallet et migrez dès maintenant. Krebs on Security en dit davantage.
L'ERC-7512 propose un standard onchain pour les audits de smart contracts
Une proposition pour l'ERC-7512 vise à représenter les audits de smart contracts onchain. En permettant aux utilisateurs et aux applications de vérifier les audits réalisés par des auditeurs réputés, ce standard établirait un système de réputation onchain pour les auditeurs et contribuerait à créer un environnement plus fiable pour s'appuyer sur les smart contracts.
« Gone Phishing » de Rekt et l'attaque Pink Drainer contre Vitalik Buterin
« Gone Phishing » de Rekt récapitule une série d'arnaques couvrant des front-ends compromis, du pig butchering, une erreur onchain à huit chiffres et des comptes piratés appartenant à des personnalités publiques et même à des agences gouvernementales — dont l'attaque par SIM-swap drainer très médiatisée contre Vitalik Buterin. Pour en savoir plus sur le groupe à l'origine de cette attaque, Boring Security a documenté les méthodes de Pink Drainer après la compromission du compte de Buterin le 10 septembre 2023.
Le rapport de sécurité crypto de MetaMask pour septembre 2023 a couvert le lancement de la bêta ouverte de MetaMask Snaps, environ 35 millions de dollars de vols que Taylor Monahan a liés à des Secret Recovery Phrases stockées dans LastPass, et l'attaque par SIM-swap de Pink Drainer qui a compromis le compte de Vitalik Buterin. Consultez les éditions précédentes du rapport de sécurité crypto MetaMask pour découvrir d'autres menaces, tendances et conseils pour rester en sécurité dans l'écosystème.
