Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Em dezembro de 2022, o LavaMoat lançou sua mitigação de bin confusion por trás de uma flag experimental, o bundler compartment-mapper do Endo passou por uma prova de conceito inicial de CommonJS, e o Grupo de Trabalho de Segurança do Node.js propôs um Modelo de Permissão em nível de processo que complementa a abordagem por pacote do LavaMoat. No campo das ameaças, o Grupo Lazarus da Coreia do Norte distribuiu uma nova variante do malware AppleJeus por meio de aplicativos cripto falsos, e um golpe de engenharia social de um mês drenou 14 Bored Apes no valor de US$ 1,07 milhão. Encerrando o ano, o programa de bug bounty da HackerOne ultrapassou 100 pesquisadores, o PhishFort rastreou 19.571 ataques de phishing com a marca MetaMask, e a MetaMask e a Laconic lançaram a iniciativa anti-phishing MobyMask. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Hedy Lamarr, co-inventora do frequency-hopping spread spectrum
Hedy Lamarr (1914–2000), ao lado do compositor George Antheil, patenteou um "Sistema de Comunicação Secreto" em 1942 que usava frequency-hopping para evitar que sinais de torpedos guiados por rádio fossem bloqueados. A ideia de distribuir um sinal por frequências que mudam rapidamente tornou-se a base da tecnologia moderna de spread spectrum, utilizada em Wi-Fi, Bluetooth e GPS — os protocolos sem fio que conectam usuários de carteiras com autocustódia a redes blockchain. Lamarr foi incluída no National Inventors Hall of Fame em 2014.
LavaMoat lança mitigação de ataques bin confusion por trás de uma flag experimental
O LavaMoat lançou o @lavamoat/allow-scripts com a flag --experimental-bins, oferecendo proteção contra ataques de npm bin script confusion tanto para projetos npm quanto para Yarn 1. A mitigação protege contra pacotes maliciosos que sequestram comandos legítimos de CLI por meio do comportamento de vinculação do campo bin do npm.
Endo avança seu bundler compartment-mapper com suporte a CommonJS
O trabalho de bundling se intensificou no projeto Endo. Uma série de correções de compatibilidade aproximou o bundler compartment-mapper de ser utilizável em projetos reais, e uma prova de conceito inicial de suporte a CommonJS passou em seus testes.
Grupo de Trabalho de Segurança do Node.js propõe um Modelo de Permissão alinhado ao LavaMoat
O Grupo de Trabalho de Segurança do Node.js preparou uma primeira proposta de Modelo de Permissão para complementar seu sistema de Políticas existente. O objetivo é semelhante ao do LavaMoat: reduzir o acesso ao sistema exposto a código de terceiros semidignos de confiança. A abordagem proposta se assemelha ao Sistema de Permissões do Deno na configuração do acesso ao sistema no nível do processo, enquanto o LavaMoat permite um isolamento mais granular ao configurar o acesso no nível do pacote dentro de um processo. Quando o Modelo de Permissão do Node.js amadurecer e for lançado, deverá ser utilizável em conjunto com o LavaMoat para uma proteção mais robusta da cadeia de suprimentos.
Grupo Lazarus distribui malware AppleJeus por meio de aplicativos cripto falsos
O Grupo Lazarus da Coreia do Norte foi flagrado distribuindo uma nova variante do malware AppleJeus por meio de aplicativos e sites de criptomoedas falsos, onde um usuário desavisado poderia inadvertidamente baixar o malware. A atividade foi reportada pela Volexity e coberta pelo The Hacker News em 5 de dezembro de 2022.
Golpe de engenharia social rouba 14 Bored Apes no valor de US$ 1,07 milhão
O analista de segurança Serpent documentou um golpe de engenharia social de um mês que roubou 14 NFTs do BAYC no valor de mais de 852 ETH (US$ 1,07 milhão) de um único colecionador, compartilhando a análise em 17 de dezembro de 2022. A engenharia social continuou sendo uma das ferramentas mais eficazes para agentes mal-intencionados ao longo do ano, com golpes elaborados como este se desenrolando ao longo de semanas, e não de minutos.
Programa de bug bounty da HackerOne constrói uma rede de mais de 100 pesquisadores em 2022
Por meio de seu programa de bug bounty na HackerOne, a MetaMask desenvolveu relacionamentos com mais de 100 pesquisadores únicos que ajudaram a identificar diversas vulnerabilidades ao longo do ano, contribuindo para uma experiência mais segura para os usuários. O programa continuou a receber novos participantes em busca de recompensas.
PhishFort detecta 19.571 ataques de phishing com a marca MetaMask em 2022
Ao longo do ano, o PhishFort detectou 19.571 ataques utilizando a marca MetaMask e, nos últimos 30 dias, derrubou com sucesso 1.873 campanhas. A MetaMask também executou iniciativas de bloqueio de phishing conhecido tanto na extensão de navegador quanto no aplicativo móvel, cobrindo a personificação da MetaMask e outras falsificações de marcas web3. A lista de bloqueio é de propriedade e gerenciada pela Consensys/MetaMask e atualizada várias vezes por dia.
MetaMask e Laconic lançam a iniciativa anti-phishing MobyMask
A MetaMask apresentou o MobyMask, uma nova iniciativa para proteger proativamente os usuários contra phishing, que utiliza uma rede dinâmica de confiança para identificar denunciantes de phishing, desenvolvida com a ajuda da Laconic.
O Relatório de Segurança Cripto de dezembro de 2022 da MetaMask cobriu o novo malware AppleJeus do Grupo Lazarus distribuído por meio de aplicativos cripto falsos, um golpe de engenharia social de um mês que roubou 14 Bored Apes no valor de US$ 1,07 milhão, e um resumo de fim de ano abrangendo a mitigação de bin confusion do LavaMoat, as remoções de phishing do PhishFort e o lançamento da iniciativa anti-phishing MobyMask. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
