Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em julho de 2022, o projeto LavaMoat lançou três ferramentas experimentais de defesa para navegadores — Securely, Snow e Across — para combater ataques de prototype pollution e ataques JavaScript entre realms, enquanto o projeto Endo encerrou seu extenso roadmap de suporte ao CommonJS. No campo das ameaças, o pesquisador de segurança da MetaMask harry.eth identificou um falso airdrop de $UNI que aplicou phishing em 73.399 provedores de liquidez da Uniswap, roubando aproximadamente US$ 8 milhões, além de um golpe no YouTube que promovia falsos bots de MEV frontrunning cujos contratos Solidity ofuscados drenavam o ETH depositado. A MetaMask também publicou um guia para evitar golpes com NFTs no Discord, Twitter e Telegram, e seu programa de bug bounty no HackerOne continuou aceitando relatórios. A análise completa está abaixo, mas primeiro...
Destaque STEM: Ralph Merkle, inventor do hashing criptográfico e das árvores de Merkle
Ralph Merkle co-inventou a criptografia de chave pública ao lado de Whitfield Diffie e Martin Hellman na década de 1970, e desenvolveu de forma independente as Merkle's Puzzles quando ainda era graduando na UC Berkeley. Sua tese de doutorado de 1979 pela Stanford introduziu as árvores de Merkle (hash trees) e a construção Merkle-Damgard, que serve de base para as funções hash utilizadas na verificação de blockchain, assinaturas digitais e nas verificações de integridade das quais os softwares de carteira com autocustódia dependem. Merkle recebeu a Medalha IEEE Richard W. Hamming em 2010 e foi incluído no National Inventors Hall of Fame em 2011.
LavaMoat lança Securely, Snow e Across para defesa JavaScript no nível do navegador
O projeto de código aberto LavaMoat da MetaMask lançou 3 ferramentas experimentais desenvolvidas para proteger aplicações baseadas em navegador contra ataques de supply chain em JavaScript:
Securely preserva o acesso exclusivo às APIs nativas do navegador (como fetch) mesmo que código de terceiros em execução no mesmo contexto de execução as tenha adulterado via prototype pollution ou técnicas de man-in-the-browser (MITB). Snow intercepta cada iframe ou realm recém-criado dentro de uma aplicação web e aplica a mesma política de segurança imposta na janela de nível superior, fechando uma técnica comum de atacantes que consiste em criar novos iframes para obter referências de API não adulteradas. O Snow é construído sobre o Securely. Across estabelece um canal de comunicação seguro entre dois scripts vinculados ao mesmo DOM, identificados pela URL de origem, sem necessidade de um intermediário no lado do servidor. O Across utiliza tanto o Securely quanto o Snow para proteger o canal.
As três ferramentas foram lançadas como experimentais. Demos estão disponíveis para Securely, Snow e Across.
Endo encerra roadmap de suporte ao CommonJS com correções finais
O projeto Endo incorporou as correções finais para o suporte a módulos CommonJS e encerrou o issue de acompanhamento do suporte ao CommonJS (endojs/endo #1055), que estava aberto desde o início de 2022. O trabalho contínuo na especificação de módulos do TC39 levantou questões sobre se os carregadores de módulos virtualizados deveriam suportar a importação de módulos CommonJS com requisitos específicos de getter e setter. Pesquisas adicionais nessa área podem motivar mudanças no suporte ao CommonJS do Endo ou posicioná-lo como arte anterior para a especificação.
Falso airdrop de $UNI aplica phishing em 73.399 endereços de LPs da Uniswap
Em 11 de julho de 2022, nosso pesquisador de segurança harry.eth identificou uma campanha de phishing que enviou um token malicioso para 73.399 endereços que haviam fornecido liquidez na Uniswap, se passando por um airdrop de $UNI. O ataque originou-se do endereço 0xcf39b7793512f03f2893c16459fd72e65d2ed00c e começou aproximadamente duas horas antes da detecção. Os usuários que interagiram com o token foram solicitados a assinar uma transação setApprovalForAll(), concedendo ao atacante acesso para drenar suas posições de LP. A campanha extraiu aproximadamente US$ 8 milhões das vítimas. A vulnerabilidade não estava no protocolo Uniswap em si.
Tutoriais de bots de MEV frontrunning no YouTube usados para roubar cripto
Em julho de 2022, nosso pesquisador de segurança harry.eth também identificou um tutorial fraudulento circulando no YouTube com 97.000 visualizações em um canal com 26.400 inscritos. Os vídeos, geralmente intitulados "Como ganhar $XXX/dia na Uniswap", instruíam os usuários a implantar um contrato Solidity descrito como um bot de MEV frontrunning. O contrato implantado continha código ofuscado que, ao ser financiado, transferia o ETH depositado diretamente para a carteira do atacante. O golpe se aproveitava da terminologia legítima de MEV para parecer confiável.
MetaMask publica guia para evitar golpes com NFTs
Publicamos um artigo de suporte sobre como evitar golpes com NFTs, abordando vetores de ataque comuns no Discord, Twitter e Telegram, onde golpistas exploram canais de comunidades de NFT para aplicar phishing em holders. O artigo cobre links maliciosos de mint, anúncios falsos de airdrop, contas comprometidas de gerentes de comunidade e engenharia social via DM. As principais orientações incluem verificar URLs em relação aos sites oficiais dos projetos, desativar DMs nos Discords das comunidades e tratar NFTs inesperados na carteira como potenciais vetores de phishing.
Atualização do programa de bug bounty no HackerOne
Nosso programa de bug bounty no HackerOne continuou aceitando relatórios referentes à Extensão MetaMask (repositório no GitHub) e ao MetaMask Mobile (repositório no GitHub).
O Relatório de Segurança Cripto da MetaMask de julho de 2022 cobriu o lançamento pelo LavaMoat de três ferramentas experimentais de defesa para navegadores — Securely, Snow e Across — voltadas para ataques de prototype pollution e ataques JavaScript entre realms, um falso airdrop de $UNI que aplicou phishing em mais de 73.000 endereços de LPs da Uniswap por aproximadamente US$ 8 milhões, e golpes de tutoriais de bots MEV no YouTube que utilizavam contratos Solidity ofuscados para drenar o ETH depositado. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
