毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについて報告します。
2022年12月は、LavaMoatが実験的フラグの下でbin混乱の緩和策をリリースし、Endoのcompartment-mapperバンドラーが初期のCommonJSの概念実証をパスし、Node.jsセキュリティワーキンググループがLavaMoatのパッケージ単位のアプローチを補完するプロセスレベルのPermission Modelを提案しました。脅威面では、北朝鮮のLazarus Groupが偽の暗号資産アプリを通じて新しいAppleJeusマルウェアの亜種を配布し、1ヶ月にわたるソーシャルエンジニアリング詐欺により14点のBored Apesが107万ドル相当の被害を受けました。年末には、HackerOneのバグバウンティプログラムが研究者100名を突破し、PhishFortが19,571件のMetaMaskブランドを騙ったフィッシング攻撃を追跡し、MetaMaskとLaconicがMobyMaskフィッシング対策イニシアチブを立ち上げました。詳細は以下の通りですが、まず最初に…
Hedy Lamarr（1914〜2000年）は、作曲家のGeorge Antheilとともに、1942年に「秘密通信システム」の特許を取得しました。このシステムは周波数ホッピングを使用して、無線誘導魚雷の信号が妨害されるのを防ぐものでした。急速に切り替わる周波数にわたって信号を拡散するというアイデアは、Wi-Fi、Bluetooth、GPSに使用される現代のスペクトラム拡散技術の基盤となりました。これらのワイヤレスプロトコルは、セルフカストディアルウォレットユーザーをブロックチェーンネットワークに接続するものです。Lamarrは2014年に全米発明家殿堂入りを果たしました。
LavaMoatは--experimental-binsフラグを付けた@lavamoat/allow-scriptsをリリースし、npmおよびYarn 1プロジェクト向けにnpm binスクリプト混乱攻撃に対する保護を提供しました。この緩和策は、npmのbinフィールドのリンク動作を通じて悪意のあるパッケージが正規のCLIコマンドを乗っ取ることを防ぎます。
Endoプロジェクトでバンドル作業が加速しました。一連の互換性修正により、compartment-mapperバンドラーが実際のプロジェクトで使用できる状態に近づき、CommonJSサポートの初期概念実証がテストをパスしました。
Node.jsセキュリティワーキンググループは、既存のPolicyシステムを補完するPermission Modelの最初の提案を準備しました。その目標はLavaMoatと同様で、半信頼のサードパーティコードに公開されるシステムアクセスを削減することです。提案されたアプローチはDeno's Permissions Systemに似ており、プロセスレベルでシステムアクセスを設定しますが、LavaMoatはプロセス内のパッケージレベルでアクセスを設定することで、より細かい分離を実現します。Node.jsのPermission Modelが成熟してリリースされれば、LavaMoatと組み合わせてサプライチェーン保護を強化するために使用できるようになるでしょう。
北朝鮮のLazarus Groupが、偽の暗号資産アプリケーションやウェブサイトを通じてAppleJeusマルウェアの新しい亜種を配布しているのが確認されました。疑いを持たないユーザーが誤ってマルウェアをダウンロードしてしまう可能性があります。この活動はVolexityによって報告され、2022年12月5日にThe Hacker Newsで取り上げられました。
セキュリティアナリストのSerpentが記録したところによると、2022年12月17日に分析を公開した1ヶ月にわたるソーシャルエンジニアリング詐欺により、1人のコレクターから852 ETH超（107万ドル）相当の14点のBAYC NFTが盗まれました。ソーシャルエンジニアリングは年間を通じて悪意ある行為者にとって最も効果的な手段の一つであり続け、このような精巧な詐欺は数分ではなく数週間にわたって展開されました。
MetaMaskはHackerOneのバグバウンティプログラムを通じて、年間を通じて多くの脆弱性の特定に貢献した100名以上のユニークな研究者との関係を構築し、ユーザーにとってより安全な体験の実現に貢献しました。このプログラムは引き続き、バウンティを追求する新たな参加者を歓迎しています。
年間を通じて、PhishFortはMetaMaskのブランドを使用した19,571件の攻撃を検出し、最後の30日間で1,873件のキャンペーンを正常に削除しました。MetaMaskはまた、ブラウザ拡張機能とモバイルアプリの両方で既知のフィッシングブロックイニシアチブを実施し、MetaMaskのなりすましやその他のWeb3ブランドのスプーフィングに対応しました。ブロックリストはConsenSys/MetaMaskが所有・管理し、1日に複数回更新されています。
MetaMaskはMobyMaskを発表しました。これはLaconicの協力を得て開発された、フィッシング報告者のソーシングに動的な信頼のウェブを使用し、ユーザーをフィッシングから積極的に保護する新しいイニシアチブです。
MetaMaskの2022年12月暗号資産セキュリティレポートでは、偽の暗号資産アプリを通じて配布されたLazarus Groupの新しいAppleJeusマルウェア、107万ドル相当の14点のBored Apesを盗んだ1ヶ月にわたるソーシャルエンジニアリング詐欺、そしてLavaMoatのbin混乱緩和策、PhishFortのフィッシング削除、MobyMaskフィッシング対策イニシアチブの立ち上げを含む年末まとめを取り上げました。エコシステム全体での安全確保に関するより多くの脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートの過去のエディションをご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
