Each month, MetaMask Security DirectorのLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2022年7月、LavaMoatプロジェクトはプロトタイプ汚染およびクロスレルムJavaScript攻撃を防ぐための3つの実験的なブラウザ防御ツール—Securely、Snow、Across—をリリースし、Endoプロジェクトは長期にわたるCommonJSサポートのロードマップを完了しました。脅威の面では、MetaMaskのセキュリティ研究者harry.ethが、73,399件のUniswap流動性プロバイダーから約800万ドルをフィッシングした偽の$UNIエアドロップを報告したほか、難読化されたSolidityコントラクトを使って預け入れたETHを抜き取る偽のMEVフロントランニングボットを宣伝するYouTube詐欺も確認されました。MetaMaskはまた、Discord、Twitter、Telegramにおける NFT詐欺を回避するためのガイドを公開し、HackerOneのバグバウンティプログラムでは引き続きレポートを受け付けました。詳細は以下の通りですが、まずは…
Ralph Merkleは1970年代にWhitfield DiffieおよびMartin Hellmanとともに公開鍵暗号を共同発明し、UC Berkeleyの学部生として独自にMerkle's Puzzlesを考案しました。1979年のStanfordの博士論文では、Merkleツリー（ハッシュツリー）とMerkle-Damgard構造を発表しました。これらはブロックチェーン検証、デジタル署名、そしてセルフカストディアルウォレットソフトウェアが依存する整合性チェックに使用されるハッシュ関数の基盤となっています。Merkleは2010年にIEEE Richard W. Hamming Medalを受賞し、2011年にはNational Inventors Hall of Fameに殿堂入りしました。
MetaMaskのオープンソースLavaMoatプロジェクトは、JavaScriptサプライチェーン攻撃からブラウザベースのアプリケーションを守るために設計された3つの実験的ツールをリリースしました。
Securelyは、同じ実行コンテキストで動作するサードパーティコードがプロトタイプ汚染やman-in-the-browser（MITB）技術によって改ざんを行った場合でも、ネイティブブラウザAPI（fetchなど）への排他的アクセスを保持します。Snowは、Webアプリケーション内で新たに作成されたすべてのiframeまたはrealmをインターセプトし、トップレベルウィンドウに適用されるのと同じセキュリティポリシーを適用することで、未改ざんのAPI参照を取得するために新しいiframeを生成するという一般的な攻撃手法を封じます。SnowはSecurelyの上に構築されています。Acrossは、同じDOMに接続された2つのスクリプト間に、ソースURLで識別される安全な通信チャネルを確立し、サーバーサイドの仲介を必要としません。AcrossはSecurelyとSnowの両方を使用してチャネルを保護します。
3つのツールはすべて実験的なものとしてリリースされました。Securely、Snow、Acrossのデモが公開されています。
Endoプロジェクトは、CommonJSモジュールサポートの最終修正をマージし、2022年初頭からオープンになっていたCommonJSサポートのトラッキングイシュー（endojs/endo #1055）をクローズしました。TC39モジュール仕様に関する継続的な作業により、仮想化されたモジュールローダーが特定のgetterおよびsetterの要件を持つCommonJSモジュールのインポートをサポートすべきかどうかという疑問が生じました。この分野のさらなる研究により、EndoのCommonJSサポートに追加の変更が加えられるか、または仕様の先行技術として位置づけられる可能性があります。
2022年7月11日、セキュリティ研究者のharry.ethが、Uniswapで流動性を提供していた73,399件のアドレスに悪意のあるトークンを送信し、$UNIエアドロップを装ったフィッシングキャンペーンを報告しました。攻撃はアドレス0xcf39b7793512f03f2893c16459fd72e65d2ed00cから発生し、検出の約2時間前に開始されました。トークンを操作したユーザーはsetApprovalForAll()トランザクションへの署名を求められ、攻撃者にLPポジションを抜き取るアクセス権を付与してしまいました。このキャンペーンは最終的に被害者から約800万ドルを搾取しました。この脆弱性はUniswapプロトコル自体にあったものではありません。
2022年7月、セキュリティ研究者のharry.ethは、26,400人の登録者を持つチャンネルで97,000回再生された詐欺チュートリアルがYouTubeで拡散していることも報告しました。「Uniswapで1日$XXX稼ぐ方法」というタイトルが多いこれらの動画は、MEVフロントランニングボットとして説明されたSolidityコントラクトをデプロイするようユーザーに指示していました。デプロイされたコントラクトには難読化されたコードが含まれており、資金を入金すると預け入れたETHが攻撃者のウォレットに直接送金される仕組みになっていました。この詐欺は、信頼性を演出するために正規のMEV用語を巧みに利用していました。
私たちは、NFT詐欺を回避する方法に関するサポート記事を公開しました。詐欺師がNFTコミュニティチャンネルを悪用してホルダーをフィッシングするDiscord、Twitter、Telegramにおける一般的な攻撃手法を解説しています。この記事では、悪意のあるミントリンク、偽のエアドロップ告知、侵害されたコミュニティマネージャーアカウント、DMを利用したソーシャルエンジニアリングについて取り上げています。主なアドバイスとして、URLを公式プロジェクトサイトと照合すること、コミュニティDiscordでDMを無効にすること、ウォレットに届いた予期しないNFTをフィッシングの可能性があるものとして扱うことが挙げられています。
HackerOne上のバグバウンティプログラムでは、MetaMask Extension（GitHubリポジトリ）およびMetaMask Mobile（GitHubリポジトリ）に関するレポートの受け付けを継続しました。
MetaMaskの2022年7月暗号資産セキュリティレポートでは、プロトタイプ汚染およびクロスレルムJavaScript攻撃を標的としたLavaMoatの3つの実験的ブラウザ防御ツール—Securely、Snow、Across—のリリース、73,000件以上のUniswap LPアドレスから約800万ドルをフィッシングした偽の$UNIエアドロップ、そして難読化されたSolidityコントラクトを使って預け入れたETHを抜き取るYouTubeベースのMEVボットチュートリアル詐欺を取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
