Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em janeiro de 2023, o LavaMoat da MetaMask expandiu seu conjunto de ferramentas de segurança — introduzindo o LavaTube para análise recursiva de grafos de objetos, adicionando um explorador de dependências em VR, movendo o "global scuttling" para o branch de desenvolvimento da Extensão MetaMask e lançando suporte cross-browser para o Snow — enquanto o Endo levou seu suporte a políticas no estilo LavaMoat para revisão final. No lado das ameaças, os golpes de envenenamento de endereços ganharam força ao inserir endereços semelhantes no histórico de transações das vítimas, pesquisadores de segurança destacaram a reentrada somente leitura como um vetor de ataque emergente em DeFi, e alertas circularam sobre trojans de acesso remoto ocultos em downloads falsos de jogos e uma falha no Chrome explorada por meio de sites falsos de carteiras. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Joan Clarke, decifradora de códigos de Bletchley Park e praticante do Banburismus
Joan Clarke (1917–1996) foi a única mulher conhecida por praticar o Banburismus — o processo criptanalítico bayesiano sequencial desenvolvido por Alan Turing para reduzir a carga de trabalho das máquinas de decriptação Enigma em Bletchley Park durante a Segunda Guerra Mundial. A capacidade de Clarke de detectar padrões estatísticos sutis em dados aparentemente aleatórios é paralela ao desafio enfrentado por usuários de carteiras com autocustódia que precisam distinguir endereços legítimos de falsificações quase idênticas em ataques de envenenamento de endereços. Clarke recebeu um MBE em 1946 por suas contribuições à inteligência em tempo de guerra.
Golpes de envenenamento de endereços usam carteiras semelhantes para enganar usuários
O envenenamento de endereços ganhou força como técnica de golpe no início de 2023. Os atacantes geram endereços de carteira que compartilham os mesmos primeiros e últimos caracteres dos contatos legítimos de um alvo e, em seguida, enviam transferências de tokens com valor zero ou insignificante para o alvo. Essas transações aparecem no histórico de transações da vítima e, quando ela posteriormente copia um endereço desse histórico — confiando na correspondência dos primeiros e últimos caracteres em vez de verificar a string completa —, envia fundos ao atacante sem perceber. O golpe explora a impossibilidade prática de memorizar endereços hexadecimais completos de 42 caracteres e o hábito comum de verificar apenas os prefixos e sufixos dos endereços.
Nota do editor: A Detecção de Envenenamento de Endereços da MetaMask já está disponível para todos os usuários.
Reentrada somente leitura surge como vetor de ataque em DeFi visando oráculos de preços
A reentrada somente leitura — uma variante do ataque clássico de reentrada — atraiu maior atenção entre os desenvolvedores Solidity em janeiro de 2023. Ao contrário da reentrada tradicional, que tem como alvo funções que modificam estado, a reentrada somente leitura explora funções view que reportam preços ou saldos. Durante uma janela de callback dentro de uma transação que altera estado, um atacante aciona uma leitura em uma função view que retorna dados desatualizados ou inconsistentes, e os protocolos que dependem desses valores para oráculos de preços ou cálculos de garantias passam a agir com base em preços manipulados. O pesquisador de segurança bytes032 publicou um thread amplamente compartilhado em 20 de janeiro de 2023 detalhando a vulnerabilidade, divulgado pela recém-formada Web3Security DAO.
LavaTube oferece navegação recursiva em grafos de objetos JavaScript para pesquisa de segurança
O LavaMoat introduziu o @lavamoat/lavatube, uma ferramenta que visita recursivamente cada propriedade de cada valor acessível a partir de uma referência inicial em um grafo de objetos JavaScript. A equipe de pesquisa de segurança da MetaMask usa o LavaTube para identificar vazamentos de referências perigosas — casos em que objetos ou APIs destinados a serem isolados expõem inadvertidamente caminhos para globais poderosos ou dados sensíveis nos aplicativos que protegem.
LavaMoat lança explorador de dependências em VR, global scuttling e Snow cross-browser
O @lavamoat/viz ganhou um novo modo VR que permite aos desenvolvedores explorar o grafo de dependências de seus projetos em um ambiente tridimensional imersivo. Separadamente, o global scuttling — que remove funções integradas poderosas da window após o LavaMoat capturá-las para dotação baseada em políticas — foi introduzido no branch de desenvolvimento da Extensão MetaMask. Uma vez lançado, mesmo um componente React malicioso que acesse a window encontrará as funções poderosas já removidas. O @lavamoat/snow, a ferramenta de segurança de realm do LavaMoat, também adicionou suporte para todos os principais navegadores em seu último lançamento, dando à MetaMask visibilidade total sobre todos os realms tanto no Chrome quanto no Firefox.
Endo se aproxima do suporte a políticas no estilo LavaMoat com um bundler seguro em revisão
O projeto Endo chegou à revisão final de sua primeira iteração de suporte a políticas no estilo LavaMoat. Recursos menores ainda eram necessários para paridade total com as políticas do LavaMoat, mas nenhuma mudança incompatível estava planejada. Uma implementação inicial de um bundler seguro que controla escopos sem depender de eval — eliminando uma superfície de ataque comum em sistemas de módulos JavaScript — também estava em revisão.
Downloads falsos de jogos alertados como vetor para trojans de acesso remoto
Em 17 de janeiro de 2023, o pesquisador de segurança da MetaMask harry.eth (@sniko_) alertou sobre um ressurgimento antecipado de trojans de acesso remoto (RATs) distribuídos por meio de downloads falsos de jogos. O padrão de engenharia social envolve um atacante se passando por representante de um projeto de jogo no metaverso, oferecendo tokens gratuitos em troca do "teste" de um cliente de jogo que é, na verdade, um instalador de RAT. Uma vez instalado, um RAT pode dar ao atacante acesso remoto total ao dispositivo da vítima, geralmente seguido de phishing em DeFi para drenar tokens.
Wallet Guard sinaliza falha no Chrome explorada por sites falsos de download de carteiras
A Wallet Guard alertou os usuários para terem cuidado com downloads após documentar uma vulnerabilidade no Google Chrome que poderia ser usada para roubar dados de carteiras cripto. A falha, corrigida em 29 de novembro de 2022 no Chrome 108, exigia que a vítima visitasse um site falso de carteira cripto e "baixasse" sua Frase de Recuperação Secreta, após o que o atacante poderia abusar de arquivos de link simbólico. A orientação principal: não baixe arquivos aleatórios de fontes não confiáveis.
O Relatório de Segurança Cripto de Janeiro de 2023 da MetaMask abordou golpes de envenenamento de endereços que inserem endereços semelhantes nos históricos de transações, a reentrada somente leitura emergindo como um vetor de ataque distinto em DeFi, e a introdução do LavaTube pelo LavaMoat para identificar vazamentos de referências perigosas em grafos de objetos JavaScript. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
