Relatório de Segurança Cripto: Agosto de 2022

Cada mês, a equipe de Segurança da MetaMask reporta os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.

Em agosto de 2022, o projeto Endo comprovou a aplicação de políticas no estilo LavaMoat em seu compartment mapper, a ferramenta Snow corrigiu múltiplas vulnerabilidades e explorou a integração do SES lockdown, e o programa de bug bounty da MetaMask no HackerOne pagou US$ 22.000 em cinco problemas resolvidos em seus primeiros dois meses. No campo das ameaças, grupos de phishing aproveitaram a confusão em torno do próximo Merge do Ethereum, disparando e-mails que se passavam por entidades confiáveis como a Infura e promoviam uma conversão inexistente de "ETH 2.0", enquanto a economia de golpes em geral mantinha o ritmo: estima-se que 64.661 novos tokens honeypot foram lançados em 2022, um aumento de 83% em relação a 2021. A análise completa está abaixo, mas primeiro...

Pioneira STEM em destaque: Leslie Lamport, criador da teoria de tolerância a falhas bizantinas e do LaTeX

O artigo de 1982 de Leslie Lamport, "The Byzantine Generals' Problem", formalizou o desafio de alcançar consenso entre nós distribuídos quando alguns podem agir de forma maliciosa — exatamente o problema que os protocolos de proof-of-stake e proof-of-work resolvem para proteger as redes blockchain. Seu algoritmo de consenso Paxos sustenta os sistemas distribuídos modernos, e ele criou o LaTeX, o sistema de preparação de documentos amplamente utilizado em publicações científicas. Lamport recebeu o Prêmio Turing da ACM em 2013.

Campanhas de phishing sobre o Merge do Ethereum se passam por entidades confiáveis com golpes falsos de conversão de ETH 2.0

Em agosto de 2022, golpistas intensificaram campanhas de phishing projetadas para explorar a confusão e a incerteza em torno da atualização de rede Merge do Ethereum (concluída em 15 de setembro de 2022). E-mails sofisticados se passando por entidades confiáveis como a Infura circularam, incentivando os usuários a "converter seu ETH para ETH 2.0" — um token inexistente. O Merge fez a transição do Ethereum de proof-of-work para proof-of-stake e não exigiu nenhuma ação dos usuários: sem troca de token, sem nova carteira e sem migração de ETH. Às vésperas do Merge, a Consensys publicou conteúdo para desmistificar e combater a desinformação. Usuários que mantinham ETH em uma carteira self-custodial compatível com EVM, como a MetaMask, não precisaram tomar nenhuma ação após a atualização de rede do Merge.

Golpes de honeypot cripto usam restrições ocultas em contratos inteligentes para prender os fundos dos compradores

A Consensys publicou um guia sobre a mecânica dos golpes honeypot, explicando como os atacantes implantam contratos inteligentes que parecem oferecer oportunidades lucrativas de negociação, mas contêm código oculto que impede os compradores de vender. O contrato permite compras, elevando o preço do token, enquanto uma restrição oculta bloqueia todas as transações de venda, exceto as do endereço do criador. Sinais de alerta comuns incluem tokens sem histórico de vendas, código-fonte do contrato não verificado e pools de liquidez de carteira única.

O compartment mapper do Endo comprova a aplicação de políticas no estilo LavaMoat em prova de conceito

O projeto Endo concluiu uma prova de conceito integrando políticas de segurança no estilo LavaMoat em seu compartment mapper. O experimento demonstrou a concessão seletiva de globais e o acesso controlado a dependências, com a política definida no momento do carregamento ou durante a criação do arquivo, incorporada ao compartment mapper e aplicada durante a fase de vinculação. Os trabalhos de acompanhamento planejados incluíam melhorias nos identificadores de pacotes, suporte a propriedades aninhadas nos globais de política, encapsulamento e desencapsulamento desses valores para funções dotadas, e mais experimentação com atenuação integrada.

Snow corrige múltiplas vulnerabilidades e explora a integração do SES lockdown

O Snow, a ferramenta LavaMoat que aplica políticas de segurança recursivas em todos os iframes e janelas criados em uma aplicação web, passou por uma rodada de testes e exploração. Múltiplas vulnerabilidades foram identificadas e corrigidas, sendo que uma delas desencadeou uma melhoria significativa na arquitetura de segurança interna do Snow. A correção abriu a possibilidade de integrar o SES lockdown() — a função de hardening do Secure ECMAScript — para fortalecer ainda mais a defesa do Snow contra ataques baseados em realm. O LavaMoat também iniciou uma atualização da documentação em todo o seu conjunto de ferramentas.

Bug bounty no HackerOne concede US$ 22.000 em 5 problemas resolvidos nos primeiros dois meses

Nosso programa de bug bounty no HackerOne, lançado em 13 de junho de 2022, recebeu 171 relatórios em seus primeiros dois meses. O tempo médio de primeira resposta foi de 5 horas. Cinco problemas foram resolvidos — 1 de severidade Alta, 3 de severidade Média e 1 de severidade Baixa — com US$ 22.000 concedidos aos relatores. O Tempo Médio de Reparo (MTTR) para esses problemas foi de 44,4 dias. Os ativos no escopo incluíam a Extensão MetaMask (MetaMask/metamask-extension) e o MetaMask Mobile (MetaMask/metamask-mobile).

Problemas de bug bounty resolvidos (primeiros dois meses):

O Relatório de Segurança Cripto de agosto de 2022 da MetaMask abordou campanhas de phishing sobre o Merge do Ethereum se passando por entidades confiáveis com golpes falsos de conversão de ETH 2.0, a mecânica dos golpes de honeypot cripto com uma estimativa de 64.661 novos tokens honeypot implantados em 2022, e a integração de prova de conceito do Endo da aplicação de políticas no estilo LavaMoat em seu compartment mapper. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.