Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Fevereiro de 2024 foi um mês repleto de atualizações de segurança da MetaMask. Os alertas de segurança com tecnologia Blockaid foram ativados por padrão em múltiplas redes Ethereum, e adicionamos uma defesa aprofundada com LavaDome ao nosso kit de ferramentas open source LavaMoat, que protege contra ataques à cadeia de suprimentos. De forma mais ampla no ecossistema, a Security Alliance (SEAL) — que abriga o SEAL 911 e um novo Acordo de Porto Seguro para Whitehats — foi lançada publicamente. No lado das ameaças, drainers invadiram a conta X da MicroStrategy em um golpe de phishing de US$ 440.000, e pesquisadores vincularam outros US$ 6,2 milhões em roubos à violação do LastPass em 2022. O detalhamento completo está abaixo, mas primeiro...
Pioneira STEM em destaque: Granville T. Woods, inventor do telégrafo de indução
Granville T. Woods (1856–1910) foi um prolífico inventor e engenheiro elétrico americano que detinha quase 60 patentes, sendo a mais famosa o Telégrafo Ferroviário Multiplex Síncrono — um telégrafo de indução que permitia a comunicação entre trens em movimento e estações, melhorando drasticamente a segurança ferroviária. Frequentemente chamado de "o Edison Negro", Woods construiu sistemas nos quais a comunicação confiável era, em si mesma, um mecanismo de segurança — o mesmo princípio que sustenta uma infraestrutura segura e confiável nos dias de hoje.
MetaMask ativa alertas de segurança Blockaid por padrão em múltiplas redes
A MetaMask integrou alertas de segurança com tecnologia Blockaid à carteira e os ativou automaticamente em diversas redes Ethereum Virtual Machine (EVM), respondendo ao crescente problema de transações maliciosas. Os novos alertas de segurança oferecem proteção adicional a milhões de usuários da MetaMask contra ataques de phishing cripto, que ganharam destaque ao longo de 2023. Pense nos alertas com tecnologia Blockaid como mais uma ferramenta de proteção dos usuários contra golpes — uma que funciona melhor em conjunto com hábitos básicos de segurança. Eles adicionam uma camada real de proteção contra transações maliciosas, e combiná-los com Security Snaps revela detalhes de transações que a MetaMask não exibe nativamente. Ainda assim, nenhuma ferramenta automatizada impede a engenharia social, por isso o básico é o que mais importa: desde não instalar softwares não verificados até manter-se alerta a impostores de suporte ao cliente nas suas DMs, desconfiar de perfis online excessivamente atraentes e nunca compartilhar sua Chave Privada ou Frase de Recuperação Secreta com nenhum site ou pessoa online.
Mais formas de autocustódia, da Frase de Recuperação Secreta aos Account Management Snaps
Autocustódia é a escolha de guardar suas próprias chaves em vez de entregá-las a terceiros, colocando a segurança dos seus fundos em suas mãos. Essa responsabilidade é real: a Frase de Recuperação Secreta de 12 palavras, historicamente necessária para criar uma carteira MetaMask, pode ser difícil de manter ao mesmo tempo secreta e segura. Por isso, a MetaMask está expandindo as formas de gerenciar contas mantendo a autocustódia. Ela apresentou os Account Management Snaps, um caminho sem permissão para equipes que desenvolvem essas soluções entregá-las aos usuários da MetaMask, e em fevereiro de 2024 lançou a Keyring API na Extensão MetaMask para que desenvolvedores possam implementar seus próprios conceitos de gerenciamento de contas. Os usuários são convidados a experimentar os três primeiros snaps na versão beta experimental: Silent Shard, Safeheron e Capsule, com feedback bem-vindo pela página de feedback.
Apresentando o LavaMoat LavaDome para defesa em profundidade de conteúdo crítico
LavaDome é a mais nova ferramenta experimental da caixa de ferramentas LavaMoat para segurança da cadeia de suprimentos. Usando a API web Shadow DOM, ele pode implementar componentes exclusivamente de frontend que permitem interações apenas com o usuário e código confiável, bloqueando tentativas de acesso por JavaScript e CSS não confiáveis. O objetivo é a defesa em profundidade: proteger o conteúdo mais crítico exibido em aplicativos protegidos pelo LavaMoat, mesmo que todas as outras proteções tenham sido superadas.
A Security Alliance (SEAL) se revela
A Security Alliance (SEAL), um esforço conjunto da comunidade de cibersegurança para melhorar a segurança em todo o ecossistema cripto, foi lançada publicamente em 14 de fevereiro de 2024. Ela vinha operando discretamente, liderando iniciativas como o SEAL 911 (uma central de resposta rápida formada por especialistas de segurança de destaque) e o SEAL Drills (treinamento de simulação de ataques). A SEAL também anunciou seu Acordo de Porto Seguro para Whitehats, um framework para hackers éticos e bots de Maximal Extractable Value (MEV) que intervêm em incidentes de segurança públicos ativos — permitindo que eles atuem preventivamente em exploits desde que um ataque esteja em andamento e que quaisquer fundos recuperados sejam redirecionados a um local especificado. Como o cofundador da SEAL samczsun anunciou, o grupo havia trabalhado nessas iniciativas de segurança de forma privada por cerca de um ano e meio antes de sua estreia pública.
Drainers exploram a conta X da MicroStrategy em um golpe de phishing de US$ 440.000
A conta X oficial da MicroStrategy foi hackeada em 26 de fevereiro de 2024 para promover um falso airdrop do token MSTR baseado em Ethereum, com a PeckShield alertando os usuários sobre o link de phishing. O incidente resultou em aproximadamente US$ 440.000 em fundos roubados, a maior parte dos quais foi supostamente de uma única vítima. O explorador começou a movimentar os fundos deixando cerca de US$ 195.000 em Ethereum em seu endereço. O drainer não havia sido identificado no momento da publicação, embora muitos pesquisadores tenham começado a atribuí-lo ao Pink Drainer.
Assim como no hack anterior da conta X de Vitalik Buterin, até contas de redes sociais confiáveis podem ser comprometidas. Lembre-se sempre de pausar antes de clicar em um link ou assinar uma transação, manter fundos substanciais em uma carteira de hardware e usar diferentes tipos de contas e carteiras para diferentes níveis de risco.
Novas vítimas do LastPass perdem US$ 6,2 milhões enquanto os roubos continuam
No mais recente golpe vinculado ao ataque ao LastPass, mais de 22 vítimas perderam um total combinado de US$ 6,2 milhões entre 19 e 20 de fevereiro de 2024, com os fundos roubados rapidamente transferidos de redes EVM para Bitcoin. Para auxiliar no rastreamento e na atribuição, ZachXBT e Taylor Monahan documentaram os endereços on-chain usados pelo atacante em um relatório no Chainabuse. Esse registro público sinaliza as carteiras que contêm fundos roubados para que exchanges, carteiras e outros serviços possam monitorá-las, congelá-las ou bloqueá-las, e alertar potenciais vítimas antes que interajam com as contas do atacante.
Desde a violação original do LastPass, membros da comunidade — fundadores de protocolos, investidores, desenvolvedores e usuários que armazenaram suas Frases de Recuperação Secretas no LastPass — perderam mais de US$ 10 milhões. Qualquer pessoa que tenha usado o LastPass antes do hack de dezembro de 2022 deve considerar suas chaves armazenadas em risco, transferir saldos para uma nova carteira e mover fundos substanciais para carteiras de hardware verificadas para armazenamento offline seguro.
O Relatório de Segurança Cripto de Fevereiro de 2024 da MetaMask abordou os alertas de segurança com tecnologia Blockaid tornando-se o padrão em múltiplas redes, o lançamento dos Account Management Snaps e da Keyring API, e a revelação pública da Security Alliance (SEAL), além do hack da conta X da MicroStrategy de US$ 440.000 e US$ 6,2 milhões em roubos contínuos vinculados ao LastPass. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
