Each month, MetaMask Security Director Lukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2023年8月、MetaMask、Paradigm、Yearn、Polygonのセキュリティ専門家たちが、暗号資産緊急事態向けの実験的なTelegramホットライン「Seal 911」を立ち上げました。また、MetaMaskはDefconとEthereum Argentinaに登壇し、Gal WeizmanはSnowにおいてよりセキュリティを優先した大胆な方向性を打ち出しました。舞台裏では、LavaMoatがリリースの自動化を進め、ScorchWrapプラグインとモバイル向けSES lockdownの開発を推進しました。さらに、現実世界のサプライチェーン攻撃として、秘密鍵を盗むタイポスクワットされたEthereum npmパッケージについても報告しました。これはまさにLavaMoatが対策を目的として構築された脅威の一例です。詳細は以下をご覧ください。まずは…
Émile Baudot（1845〜1903年）は、フランスの電信技師であり、Baudotコードを発明しました。Baudotコードは初期の固定長文字エンコーディングで、デジタル通信の最初の実用的な手段の一つであり、ASCIIの前身でもあります。「baud（ボー）」という単位は彼の名前に由来しています。情報のエンコードと伝送を標準化した彼の業績は、今日のエコシステムが依存する安全で信頼性の高いデータ交換の基盤となっています。
MetaMaskのセキュリティ専門家たちが、Paradigm、Yearn、Polygonの専門家と協力し、暗号資産の緊急事態を経験しているユーザー向けの実験的なTelegramボットホットラインを作成しました。MetaMaskのTaylor MonahanとHarry Denleyも「Seal 911」と名付けられたこのプロジェクトに参加しています。samczsunが2023年8月8日に説明したように、このグループは責任ある情報開示において最も難しい部分、つまり適切な担当者を見つけることを解決しようとしました。その結果として生まれたSeal 911ボットは、緊急時に誰でも利用でき、セキュリティコミュニティの信頼できるメンバーとその広範なネットワークにアクセスできます。
LavaMoatのSnowに関する最新アップデートにおいて、MetaMaskのGal Weizmanはより大胆な方向性を示しました。「今日はSnowにとって重要な日です。防御的なセキュリティを追い求めることをやめ、アダプションや機能的な動作を犠牲にしてでも大胆な一歩を踏み出すという成熟した認識に至りました。」つまり、Snowは利便性や互換性が低下する場合でも、より強固なセキュリティ保証を優先するということです。
ラスベガスで開催されたDefconの2023年8月AppSec Villageにおいて、MetaMaskのZbigniew Tenerowicz（ZB）とKumavisが、強化されたJavaScriptとソフトウェアサプライチェーンリスクに関する防御的コーディングワークショップを開催しました。録画はありませんが、コースワークとスライドは公開されています。
「ソフトウェアサプライチェーンについて聞いたことがありますか？そう、結局のところ、アプリが
セキュアデザインスペシャリストのAntonela Debiasは、Ethereum Argentinaのメインステージに登壇し、暗号資産ネットワークにおける信頼モデルを検証し、信頼の指標と企業セキュリティの指標の違いについて論じました。
LavaMoatのモノレポはリリース管理のためにnpm workspacesとrelease-pleaseへの移行を進めており、これによりLavaMoatのリリースが自動化され、大幅に高速化されます。ScorchWrap webpackプラグインは複数のエントリーポイントとチャンクをサポートするようになり、モジュール要件へのポリシー適用も実装されました。最初のベータ版に向けた残りの作業は、グローバルへのポリシー適用です。一方、SES lockdownは2段階に分割され、「Vetted Shims」を修復後かつフリーズ前にintrinsicsに適用できるようになります。この変更により互換性が向上し、MetaMask MobileをlockdownとともにSES lockdownを実行するための最後の障壁の一つが解消される見込みです。モバイルでは、SESはプリバンドルのロックダウンを継続し、reflect-metadataを信頼できるshimとして許可しています。これは、Settingsスクリーンをラップする高階コンポーネントとして使用される@consensys/on-ramp-sdkの直接依存関係であるためです。
Phylumは2023年8月初旬、一連の不審なnpmパッケージの公開について警告を受けたと報告しました。その中には、人気の暗号資産ライブラリのタイポスクワットや、ほとんどの開発者が精査しないような大きなファイルの奥深くに悪意のあるコードを隠した依存関係が含まれていました。このパッケージはリモートサーバーに秘密鍵を送信するものであり、まさにLavaMoatが対策を目的として設計されたソフトウェアサプライチェーン攻撃の典型例です。
MetaMaskの2023年8月暗号資産セキュリティレポートでは、暗号資産緊急事態向けの組織横断的なTelegramホットライン「Seal 911」の立ち上げ、Snowにおける大胆なセキュリティファーストの新方針、そして秘密鍵を盗むタイポスクワットされたEthereum npmパッケージについて取り上げました。エコシステム全体での安全を守るための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
