Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em agosto de 2023, especialistas em segurança da MetaMask, Paradigm, Yearn e Polygon lançaram o Seal 911 — uma linha direta experimental no Telegram para emergências cripto —, enquanto a MetaMask marcou presença na Defcon e na Ethereum Argentina, e Gal Weizman definiu uma direção mais ousada e focada em segurança para o Snow. Nos bastidores, o LavaMoat automatizou seus lançamentos e avançou no plugin ScorchWrap e no SES lockdown para mobile. Em outros acontecimentos, reportamos mais um ataque real à cadeia de suprimentos de software: um pacote npm do Ethereum com typosquatting que roubava chaves privadas — exatamente o tipo de ameaça que o LavaMoat foi criado para mitigar. A análise completa está abaixo, mas primeiro...
Destaque STEM: Émile Baudot, inventor do código Baudot
Émile Baudot (1845–1903) foi um engenheiro telegráfico francês que inventou o código Baudot, uma das primeiras codificações de caracteres de comprimento fixo e um dos primeiros meios práticos de comunicação digital — precursor do ASCII. A unidade "baud" leva seu nome. Seu trabalho na padronização de como as informações são codificadas e transmitidas é fundamental para a troca de dados segura e confiável da qual o ecossistema depende hoje.
Especialistas em segurança lançam o Seal 911, uma linha direta no Telegram para emergências cripto
Especialistas em segurança da MetaMask, junto com os da Paradigm, Yearn e Polygon, uniram forças para criar uma linha direta experimental via bot no Telegram para usuários que enfrentam emergências cripto, com Taylor Monahan e Harry Denley, da MetaMask, contribuindo para o projeto, batizado de Seal 911. Como samczsun explicou em 8 de agosto de 2023, o grupo se propôs a resolver a parte mais difícil da divulgação responsável — encontrar a pessoa certa para contatar. O resultado é um bot do Seal 911 que qualquer pessoa pode usar durante uma emergência para entrar em contato com membros confiáveis da comunidade de segurança e sua extensa rede de contatos.
Gal Weizman: Snow prioriza segurança em detrimento de adoção e funcionalidade
Na atualização mais recente sobre o Snow do LavaMoat, Gal Weizman, da MetaMask, sinalizou uma direção mais ousada: "Hoje marca um grande dia na vida do Snow, onde chegamos à maturidade de perceber que, para o projeto parar de perseguir segurança defensiva, ele precisa dar passos ousados, mesmo que isso custe em termos de adoção e comportamento funcional." Em outras palavras, o Snow priorizará garantias de segurança mais robustas, mesmo que isso reduza a conveniência ou a compatibilidade.
Zbigniew Tenerowicz e Kumavis conduzem workshop de Codificação Defensiva na AppSec Village da Defcon
Na AppSec Village de agosto de 2023 da Defcon, em Las Vegas, Zbigniew Tenerowicz (ZB) e Kumavis, da MetaMask, conduziram um workshop de Codificação Defensiva sobre JavaScript reforçado e riscos na cadeia de suprimentos de software. Não há gravação, mas o material do curso e os slides estão disponíveis.
"Você já ouviu falar em cadeia de suprimentos de software? Sim, é aquela situação em que você descobre que é responsável pelo que seu app importa da pasta
Antonela Debiasi questiona a confiança em intermediários tecnológicos na Ethereum Argentina
A especialista em design seguro Antonela Debiasi subiu ao palco principal da Ethereum Argentina para examinar o modelo de confiança nas redes de criptomoedas, traçando uma distinção entre indicadores de confiança e indicadores de segurança corporativa.
LavaMoat e Endo avançam na automação de lançamentos, no ScorchWrap e no SES lockdown para mobile
O monorepo do LavaMoat está migrando para npm workspaces e release-please para gerenciamento de lançamentos, o que tornará os releases do LavaMoat automatizados e muito mais rápidos. O plugin webpack ScorchWrap agora suporta múltiplos pontos de entrada e chunks, e a aplicação de políticas sobre requisitos de módulos já está implementada; o trabalho restante para o primeiro beta é a aplicação de políticas sobre variáveis globais. Enquanto isso, o SES lockdown está sendo dividido em dois estágios para permitir que "Vetted Shims" sejam aplicados a intrínsecos após o reparo, mas antes do congelamento — uma mudança que deve melhorar a compatibilidade e eliminar um dos últimos bloqueios para executar o MetaMask Mobile com lockdown. No mobile, o SES continua realizando o lockdown pré-bundle e permitindo o reflect-metadata como um shim confiável, já que é uma dependência direta do @consensys/on-ramp-sdk, utilizado como um componente de ordem superior envolvendo a tela de Configurações.
Pacote npm do Ethereum com typosquatting rouba chaves privadas — o tipo de ataque que o LavaMoat combate
A Phylum reportou no início de agosto de 2023 que havia sido alertada sobre uma série de publicações suspeitas no npm, incluindo um typosquat de uma biblioteca popular de criptomoedas e uma dependência que escondia código malicioso no fundo de um arquivo extenso que a maioria dos desenvolvedores jamais examinaria com atenção. O pacote exfiltrava chaves privadas para um servidor remoto — precisamente o tipo de ataque à cadeia de suprimentos de software que o LavaMoat foi projetado para mitigar.
O Relatório de Segurança Cripto da MetaMask de agosto de 2023 cobriu o lançamento do Seal 911, uma linha direta no Telegram para emergências cripto com colaboração entre organizações, uma nova direção ousada com foco em segurança para o Snow, e um pacote npm do Ethereum com typosquatting que roubou chaves privadas. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
