Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Neste mês, lançamos um novo recurso de segurança de transações com a OpenSea e a Blockaid que já bloqueou mais de 4.000 transações arriscadas. Em outros acontecimentos, um golpe como serviço chamado Venom Drainer roubou US$ 27 milhões de cerca de 15.000 pessoas, e nossos pesquisadores Taylor Monahan e Harry Denley começaram a investigar uma campanha separada que estava drenando as carteiras de usuários antigos de cripto. O Etherscan também alterou uma configuração para ajudar a conter golpes de envenenamento de endereço. A análise completa está abaixo, mas primeiro...
Pioneiro STEM em destaque: Michael Faraday, pioneiro do eletromagnetismo e da eletroquímica
Michael Faraday (1791–1867) foi um cientista inglês amplamente autodidata cujos experimentos lançaram as bases do eletromagnetismo — incluindo a indução eletromagnética — e da eletroquímica, onde suas leis da eletrólise ainda carregam seu nome. Sua insistência em experimentos cuidadosos e reproduzíveis, em vez de suposições, é a mesma disciplina baseada em evidências da qual a pesquisa de segurança sólida depende.
Endo renomeia importHook e avança na compatibilidade com BigInt e SES para mobile
O exitModuleImportHook do Endo foi renomeado para importHook e aguarda a integração no compartment-mapper. O SES 0.18.3+ agora inclui a correção mencionada anteriormente para o React Native Android JSC referente ao AsyncGenerator e AsyncFunctionPrototype não padronizados. A equipe também concluiu uma exploração da compatibilidade do BigInt com as bibliotecas do MetaMask Mobile para determinar o melhor caminho a seguir: o shim big-integer ainda não oferece suporte completo ao @ethereumjs/util, o react-native-v8 é totalmente compatível, mas apresenta um problema de desempenho bloqueante, e o Hermes fornece uma implementação funcional de BigInt, mas apresenta outros problemas de compatibilidade e não possui a instrução "with" que o SES necessita. Vários TypeErrors com SES 0.18.3+ em investigação no React Native 0.71.6 estão aproximando a equipe do bloqueio do MetaMask mobile, que está sendo atualizado da versão 0.66.5, incluindo o React Native 0.72.0-rc1.
O plugin ScorchWrap do LavaMoat empacota dependências reais e o suporte ao Yarn Berry tem início
A equipe do LavaMoat esteve representada no meetup React Native London e no Node Congress Berlin em abril de 2023, com um vídeo de uma palestra de Zbigniew Tenerowicz previsto para o mês seguinte. A abordagem anterior para o empacotamento seguro funcionava, mas suas limitações eram suficientemente pronunciadas para que a equipe migrasse de um loader para um plugin e encontrasse uma etapa melhor no processo de empacotamento para encapsular cada módulo. O proof of concept do plugin, com o codinome ScorchWrap, consegue criar um bundle básico com dependências reais independentemente do tipo de código (CommonJS, ESM ou TypeScript compilado); mais trabalho é necessário para compatibilidade com outros plugins e testes em larga escala. A equipe também iniciou pesquisas preliminares sobre compatibilidade do SES com o Hermes, começou o suporte ao Yarn Berry (3+) para @lavamoat/allow-scripts e tem apresentações em andamento sobre a nova arquitetura do React Native e como bloqueá-la.
MetaMask, OpenSea e Blockaid lançam segurança de transações que bloqueia mais de 4.000 transações arriscadas
Em abril de 2023, unimos forças com a OpenSea e a Blockaid em um recurso experimental e opcional de segurança de transações que sinaliza golpes conhecidos antes que os usuários os aprovem — e ele já havia bloqueado mais de 4.000 transações arriscadas. A OpenSea fornece sua lista de bloqueio de golpes e a Blockaid analisa comportamentos maliciosos em tempo real, com mais trabalhos de segurança a caminho.
Gal Weizman encontra um XSS armazenado no Snyk Advisor (CVE-2023-1767)
Gal Weizman, da Segurança da MetaMask, documentou sua investigação em "CVE-2023-1767 — Stored XSS on Snyk Advisor service can allow full fabrication of npm packages health score." Como ele resumiu, um XSS armazenado no Snyk Advisor permitiu que ele fabricasse a pontuação de saúde concedida a pacotes sob seu controle, fazendo um pacote "malicioso" parecer saudável, popular e legítimo — algo que um invasor poderia ter usado para convencer outras pessoas a instalar um pacote npm genuinamente malicioso.
Venom Drainer substitui o Monkey Drainer, drenando US$ 27 milhões de cerca de 15.000 vítimas
O Monkey Drainer pode ser história, mas o Venom Drainer tomou seu lugar quase da noite para o dia. De acordo com um relatório do Scam Sniffer no início de abril de 2023, o golpe como serviço Venom Drainer drenou US$ 27 milhões de aproximadamente 15.000 vítimas — com as cinco principais vítimas perdendo sozinhas US$ 14 milhões — em cerca de 530 sites de phishing visando aproximadamente 170 marcas.
Uma campanha de drainer multichain tem como alvo usuários antigos de cripto
Em meados do mês, Taylor Monahan, da Segurança da MetaMask, e Harry Denley lançaram uma investigação extensiva após descobrirem uma ofensiva multichain direcionada a pessoas que estavam ativas no ecossistema cripto há anos, muitas delas bem versadas em segurança pessoal. As Secret Recovery Phrases envolvidas controlavam chaves criadas entre 2014 e 2022, e a investigação ainda estava em andamento. "Desde dezembro de 2022, foram drenados mais de 5.000 ETH e ??? em tokens / NFTs / moedas em mais de 11 redes. Isso arruinou meus amigos e OGs que são razoavelmente seguros. Ninguém sabe como.", compartilhou Monahan.
Etherscan oculta transferências de valor zero para conter o envenenamento de endereço
A CoinDesk reportou que "Etherscan Reconfigures Blockchain Explorer Settings to Filter Out Potential Scams." O explorador agora oculta a exibição de transferências de tokens de valor zero por padrão, uma configuração voltada para prevenir o envenenamento de endereço — onde invasores enviam tokens praticamente sem valor para uma carteira para induzir o usuário a copiar e enviar fundos posteriormente para um endereço fraudulento.
Falso "hack" do Uniswap engana usuários com um Revoke.cash falso
Golpistas manipularam as hashtags #UniswapHack e #UniswapExploit para fazê-las entrar em tendência e, em seguida, usaram o falso "hack" para direcionar os usuários a uma versão falsificada do Revoke.cash. Como Hayden Adams e Evan Van Ness apontaram em 15 de abril de 2023, o Uniswap não havia sido hackeado, lembrando os usuários de manterem a calma e evitarem agir por impulso.
Phishing por anúncios de pesquisa do Google roubou US$ 4 milhões
Um relatório do Scam Sniffer documentou phishing por anúncios de pesquisa do Google que resultou em US$ 4 milhões roubados. O phishing por anúncios de pesquisa do Google é um golpe em que fraudadores pagam por resultados patrocinados que imitam marcas cripto reais, direcionando os usuários a sites falsos que roubam as credenciais de suas carteiras ou seus fundos. Esses golpes são uma ameaça recorrente, portanto, verifique os URLs com atenção, use favoritos sempre que possível, ignore resultados de pesquisa patrocinados e considere usar um bloqueador de anúncios para reduzir a exposição.
O Relatório de Segurança Cripto da MetaMask de abril de 2023 abordou o lançamento de um recurso experimental de segurança de transações da MetaMask, OpenSea e Blockaid, o golpe como serviço Venom Drainer que roubou US$ 27 milhões de cerca de 15.000 vítimas e uma investigação em andamento sobre uma campanha de drainer multichain direcionada a usuários antigos de cripto. Consulte as edições anteriores do Relatório de Segurança Cripto da MetaMask para ver mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
