毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2022年11月、LavaMoatはMetaMask Extensionを含む全ユーザー向けに、SnowとグローバルScuttlingを本番環境にロールアウトしました。また、4回バックフリップされたSESビルド、Node.jsのドメインテーミング、初期のbin混乱攻撃緩和策も導入されました。一方、Endoは汎用バンドラーのプロトタイプを開発し、脅威インテリジェンスチームはSTIXベースのDeFiインシデントデータベースの構築を開始しました。コミュニティ面では、MetaMaskがKumavisのDevconトーク（JavaScriptサプライチェーンセキュリティについて）を共有し、Gal WeizmanがSnowをExtensionに統合する意義を論じ、TwitterスペースではFTX崩壊を受けてSnapsがセルフカストディをどう強化できるかが議論されました。月の締めくくりとなった注意喚起事例としては、Google AdsおよびGoogle Sitesを悪用したフィッシング、偽のFlash Playerアップデートを通じて配布された悪意あるChrome拡張機能、そしてTelegramのトレーディングボット詐欺が挙げられます。詳細は以下のとおりですが、まずは…
Daphne Oram（1925〜2003）は1958年にBBC Radiophonic Workshopを共同設立し、フィルムに直接形状を描いて音を合成する「Oramics」と呼ばれる技術を開拓しました。手描きのパターンを精密な信号に変換する彼女の研究は、セルフカストディアルウォレットソフトウェアがデータを検証する際の基盤となるシグナル・パターン思考を先取りするものでした。Oramはキャリアを通じて、高度に技術的なツールを非専門家にも表現豊かでアクセスしやすいものにできると主張し続けました。
2022年11月は、LavaMoatにとって重要な本番ロールアウトの月となりました。Snow（再帰的なiframeおよびrealmセキュリティ）とグローバルScuttling（ポリシーベースのキャプチャ後に元のグローバル参照を削除する機能）が、MetaMask Extensionを含む全LavaMoatユーザー向けにリリースされました。いくつかの強力なアップデートを含む「4回バックフリップされた」バージョンのSESが次回リリースに向けてLavaMoatに導入され、Node.jsのドメインテーミングも含まれました。これは、一部のパッケージが長らく非推奨となっているNodeのdomainモジュールを依然として使用しているため、注目すべき点です。bin混乱攻撃緩和策の初期バージョンが@lavamoat/allow-scriptsにマージされ、次回リリースではフラグの後ろで利用可能になる予定です。また、いくつかのガイド付き質問を通じてリポジトリ内の全LavaMoatツールをセットアップするための新しいCLIも開発中でした。
Endoプロジェクトは、Endoを使ってバンドラーを動かす実験を行い、コンパートメントマッパーの上に汎用バンドラーの概念実証を構築しました。この作業により、名前付き再エクスポートの処理に関するバグ修正を含む、Endoコードベース全体にわたるさまざまな機能改善が引き起こされました。
MetaMaskの脅威インテリジェンスチームは、分散型金融（DeFi）分野のインシデントに関する標準化されたデータストアの構築に着手しました。記録にはSTIX（Structured Threat Information Expression）言語を使用しており、DeFiセキュリティインシデントを追跡する専門家や愛好家の双方に洞察を提供する信頼できる情報源となることを目指しています。
MetaMaskのKumavisは、Devcon 2022で「The Attacker is Inside」と題した講演を行いました。JavaScriptおよび暗号資産エコシステムにおけるソフトウェアサプライチェーン攻撃の仕組み（あらゆるプロジェクトが共有オープンソースの上に構築されている環境）と、ユーザーとそのウォレットを保護するMetaMaskの無料オープンソースツール「LavaMoat」について解説しました。
LavaMoatのコントリビューターであるGal Weizmanは、「Integrating Snow into MetaMask」を公開し、ブラウザセキュリティ技術であるSnowをMetaMaskブラウザ拡張機能に直接導入することを主張しました。Snowはすべてのiframeにわたって再帰的なrealm所有権を強制し、新たに作成されたブラウザrealmが改ざんされていないAPIリファレンスへのアクセスやトップレベルウィンドウに適用されたポリシーの回避に使用される攻撃対象領域を閉じます。
FTX崩壊を受けて、MetaMaskが主催したTwitterスペースに、Christian Montoya（MetaMask）、Zen Yong（Web3Auth）、Chirag Titiya（Biconomy）が集まり、MetaMask Snapsを通じたパーミッションレスなイノベーションが、ユーザーが自分の資金を管理し、シークレットリカバリーフレーズをより適切に保護するためにどう役立つかを議論しました。Zen Yongは「より多くの人々がセルフカストディを実践していれば、FTXの出来事が暗号資産全体に与える影響は小さかったかもしれない」と述べました。Montoyaは、開発者がMetaMaskに新しいアカウント管理オプションを構築できるようにすることが目標であり、新規ユーザーに鍵の紛失やアカウント侵害のリスクを軽減する、より簡単で安全な選択肢を提供することだと指摘しました。
フィッシングキャンペーンは引き続きGoogleのインフラを悪用して暗号資産ウォレットユーザーを標的にしています。The Vergeはかつて、フィッシャーがGoogle Adsを使って人々の暗号資産を騙し取る手口を記録しており、ユーザーは「sites.google.」で始まるURLにも注意が必要です。Mashableが報じたように、詐欺師はGoogle Sitesにフィッシングサイトを構築し、信頼できるウェブサイトのデザインをコピーして人々に機密情報を入力させることにも成功しています。
BleepingComputerは、攻撃者がブラウザをリモートコントロールできるようにする悪意あるChrome拡張機能について報じました。この拡張機能は公式のChrome Web Storeでは入手できず、偽のAdobe Flash Playerアップデートを配布するウェブサイトなど、非公式なチャネルを通じて流通しています。ユーザーへの教訓：非公式なソースからブラウザ拡張機能や「アップデート」をインストールしないようにしましょう。
2022年11月、TelegramとトレーディングボットにおけるTelegramの悪意ある活動についての警告がソーシャルメディアで広まりました。TwitterユーザーのBig Dは、気づきにくい自動設定を通じてスマートフォンにダウンロードされる可能性のあるTelegram経由で拡散するトロイの木馬を指摘し、別の分析ではトレーディングボット内でユーザーのPrivate Keyが漏洩する仕組みを検証しました。トレーディングボットの普及は進んでいますが、ウォレットへのアクセスを許可することで資金が危険にさらされる可能性があります。
MetaMaskの2022年11月暗号資産セキュリティレポートでは、LavaMoatのSnowとグローバルScuttlingのMetaMask Extensionへの本番ロールアウト、FTX崩壊を受けてMetaMask Snapsがセルフカストディをどう強化できるかを議論したTwitterスペース、そしてGoogle AdsおよびGoogle Sitesのフィッシング、悪意あるChrome拡張機能、Telegramのトレーディングボット詐欺にわたる注意喚起事例を取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
