Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Em abril de 2024, ZachXBT, Taylor Monahan da MetaMask e outros pesquisadores compartilharam sua investigação sobre US$ 200 milhões lavados pelo Grupo Lazarus da Coreia do Norte. Em outras frentes, o Security Lab da MetaMask submeteu uma proposta Snow.js ao W3C, atualizou a geração de políticas do LavaMoat para módulos ES, enquanto Gal Weizman detalhou a nova ferramenta LavaDome para exibição segura de dados sensíveis. Enquanto isso, a Security Alliance lançou um ISAC gratuito e nativo do universo cripto. O detalhamento completo está abaixo, mas primeiro...
Pioneira STEM em destaque: Fazlur Rahman Khan, engenheiro estrutural e pai do design tubular
Fazlur Rahman Khan (1929–1982) foi um engenheiro estrutural e arquiteto bangladeshiano-americano, pioneiro no uso de design assistido por computador e figura frequentemente chamada de "pai dos designs tubulares" para arranha-céus. Seus sistemas estruturais tornaram possível uma nova geração de arranha-céus eficientes — incluindo a Willis Tower (antiga Sears Tower) e o John Hancock Center. Projetar estruturas que se mantêm de pé sob enorme pressão é, à sua maneira, o mesmo desafio que a engenharia de segurança enfrenta: construir algo que resista quando tudo conspira contra ele.
Atualizações do LavaMoat e Snow: uma proposta ao W3C, geração de políticas ESM e bloqueio no iOS
O Security Lab da MetaMask submeteu uma proposta ao W3C para incubação, introduzindo funcionalidades básicas que permitiriam à equipe disponibilizar o Snow.js para o usuário final, em vez de fazê-lo por meio do LavaMoat. Incorporá-lo diretamente ao navegador tornaria a contornagem praticamente impossível e é um passo fundamental para resolver a "preocupação com a mesma origem". A equipe também atualizou sua geração de políticas para suportar ECMAScript Modules (ESM) — acomodando a sintaxe de import e export além do sistema tradicional de require — tanto para o plugin webpack quanto para uma nova ferramenta baseada em Endo. O suporte para target: 'node' com módulos integrados chegará ao plugin webpack do LavaMoat na próxima versão. O Lockdown foi lançado permanentemente no MetaMask Mobile para iOS, e a equipe está aprimorando sua documentação e vídeos educativos para facilitar a adoção do LavaMoat por todo o ecossistema.
Como o LavaDome protege proativamente contra ataques ao código de aplicações web
À medida que a confiança no código dentro de aplicações web se deteriora, proteções tradicionais como a Same Origin Policy tornam-se cada vez mais inadequadas contra ameaças internas. A MetaMask está enfrentando esse problema com o LavaDome, uma ferramenta experimental para exibir informações sensíveis no DOM com segurança, sem que sejam roubadas por código malicioso por meio de ataques XSS ou de cadeia de suprimentos. Como Gal Weizman explicou, o LavaDome pode renderizar valores sensíveis — um PIN, uma Frase de Recuperação Secreta, uma Chave Privada ou outros dados pessoais — no DOM de forma segura, com praticamente zero atrito de integração.
Uma falsa ameaça de processo judicial expõe uma rede de phishing do Privnote
Um cibercriminoso que operava versões falsas do serviço de mensagens autodestrutivas Privnote expôs inadvertidamente a escala de sua operação ao ameaçar processar a MetaMask. Tudo começou quando um usuário do GitHub reclamou que seu site, privnote.co, havia sido adicionado incorretamente à lista de bloqueio de phishing da MetaMask e ameaçou tomar medidas legais. Quando pressionado a apresentar o processo judicial de fato, ficou confuso e começou a citar outros domínios que controlava, como privnode.com, privnate.com e prevnóte.com, revelando toda uma rede.
Taylor Monahan sinalizou o deslize e, como Brian Krebs detalhou, esses sites imitam o Privnote real em aparência e funcionamento, com uma diferença crítica. Qualquer mensagem contendo um endereço de criptomoeda é automaticamente reescrita para substituir o endereço de pagamento real por um pertencente aos fraudadores e, como a mensagem se autodestrói, a alteração é fácil de passar despercebida. É um golpe lucrativo também: por meio de apenas um desses sites de phishing, quatro endereços de golpe movimentaram quase US$ 18.000 em cripto em apenas cinco dias em março.
ZachXBT rastreia como o Grupo Lazarus lavou US$ 200 milhões
ZachXBT, com a ajuda de Taylor Monahan da MetaMask Security e outros pesquisadores, seguiu o rastro de transações por mixers e exchanges centralizadas para documentar como o Grupo Lazarus lavou US$ 200 milhões de mais de 25 hacks cripto em moeda fiduciária entre 2020 e 2023.
Entre 2020 e 2023, o infame Grupo Lazarus, com suspeitas ligações à Coreia do Norte, lavou cerca de US$ 200 milhões. ZachXBT, em conjunto com Taylor Monahan da MetaMask Security e outros pesquisadores, compartilhou uma investigação sobre o rastro de transações do Lazarus — por mixers e exchanges centralizadas — para rastrear mais de 25 hacks atribuídos ao grupo.
A Security Alliance (SEAL) lança um ISAC gratuito e nativo do universo cripto
A Security Alliance lançou um Information Sharing and Analysis Center (ISAC) gratuito desenvolvido para o universo cripto de código aberto, com suporte tanto a entidades centralizadas quanto descentralizadas. Sua iniciativa SEAL 911, que samczsun destacou ter ajudado a recuperar mais de US$ 50 milhões desde seu lançamento no ano anterior, convidou partes interessadas a se candidatarem — incluindo exchanges e plataformas de negociação, projetos de blockchain, provedores de carteiras e armazenamento, pools de mineração e provedores de infraestrutura, empresas e pesquisadores de cibersegurança focados em blockchain, além de especialistas em regulamentação e conformidade.
Bernhard Mueller analisa o serviço Angel Drainer
Bernhard Mueller publicou uma análise detalhada do Angel Drainer, um dos serviços de drainer mais notórios em operação. Embora o serviço anuncie uma forma de contornar a detecção do Blockaid, o recurso Blockaid habilitado por padrão na MetaMask ainda sinaliza a transação como fraudulenta, impedindo o ataque completo.
Usuários do LastPass atingidos por phishing do CryptoChameleon que contorna MFA
Usuários do LastPass foram alvo de uma sofisticada campanha de phishing que combinava e-mail, SMS e ligações telefônicas para roubar senhas mestras. Os atacantes utilizaram o CryptoChameleon, um kit de phishing-as-a-service focado em contas de criptomoedas capaz de contornar a autenticação multifator (MFA), enganando os usuários ao fazê-los acreditar que sua conta no LastPass havia sido acessada por um novo dispositivo e redirecionando-os para um site de phishing que capturava credenciais. O LastPass tomou medidas contra a campanha, que faz parte de uma série de ataques ao gerenciador de senhas, incluindo uma violação significativa divulgada no ano anterior. A defesa é simples: verifique qualquer comunicação que afirme ser de um provedor de serviços entrando em contato por meio do site oficial ou linha de suporte, em vez de responder diretamente, e desconfie de solicitações urgentes e não solicitadas para compartilhar informações, clicar em links ou baixar anexos.
Google processa dois desenvolvedores por 87 aplicativos cripto fraudulentos
O Google entrou com uma ação judicial contra os desenvolvedores Yunfeng Sun e Hongnam Cheung por distribuírem 87 aplicativos de criptomoedas fraudulentos na Google Play Store, afetando mais de 100.000 usuários — 8.700 deles nos EUA. O processo, movido no Distrito Sul de Nova York, descreve como os aplicativos atraíam usuários com a promessa de investimentos em cripto e depois os prendiam com taxas para sacar supostos retornos, disfarçando-se de plataformas de negociação legítimas e evitando remoção ao mudar repetidamente de identidade e infraestrutura de rede. O esquema no estilo pig butchering serve de alerta para pesquisar e verificar a legitimidade de um aplicativo — analisando avaliações e comentários nas redes sociais — e para lembrar que ofertas boas demais para ser verdade geralmente são mesmo.
Drainers cripto implantados em cerca de 2.000 sites WordPress
Quase 2.000 sites WordPress foram hackeados para exibir pop-ups falsos de NFT e descontos que levavam visitantes a conectar suas carteiras a drainers cripto. A campanha inicialmente distribuía drainers por meio de anúncios e YouTube, depois passou a usar força bruta para descobrir senhas de administrador e agora exibe ofertas fraudulentas de NFT que enganam usuários para que conectem suas carteiras a scripts maliciosos servidos a partir de dynamic-linx[.]com. Os usuários devem conectar carteiras apenas a plataformas confiáveis, manter valores significativos em uma carteira de hardware, guardar o mínimo de ativos em carteiras de uso diário e utilizar contas diferentes para diferentes níveis de risco.
O Relatório de Segurança Cripto da MetaMask de abril de 2024 cobriu a investigação do ZachXBT sobre os US$ 200 milhões lavados pelo Grupo Lazarus, o lançamento do ISAC gratuito e nativo do universo cripto da Security Alliance, e uma campanha de phishing do CryptoChameleon que teve como alvo usuários do LastPass enquanto contornava a autenticação multifator. Confira edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
