Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em julho de 2023, a equipe de segurança da MetaMask apresentou o Menpo, um padrão STIX 2.1 para catalogar incidentes DeFi, na DeFi Security Summit, enquanto Gal Weizman concluiu uma série de três partes no X sobre como o scuttling e o Snow do LavaMoat fortalecem a segurança da cadeia de suprimentos. O LavaMoat também avançou no plugin webpack ScorchWrap e no trabalho com o EIP-4361. No campo das ameaças, o relatório deste mês também revelou golpes de pig butchering (shāz hū pán) e fake mining que abusam de aprovações de tokens, um novo golpe de aprovações falsas usando gas tokens distribuídos via airdrop, e uma campanha de engenharia social do Grupo Lazarus espalhando malware npm para desenvolvedores de cripto e segurança. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Josephine Jue, matemática da NASA e tecnóloga aeroespacial
Josephine Jue foi matemática e tecnóloga aeroespacial na NASA, lembrada como uma de suas "figuras ocultas" e uma das primeiras mulheres asiático-americanas a trabalhar como programadora no Centro de Espaçonaves Tripuladas da NASA, onde contribuiu para o software por trás do programa Apollo. A precisão e a confiabilidade que seu trabalho exigia dos primeiros softwares de missão crítica são o mesmo padrão do qual os sistemas confiáveis ainda dependem hoje.
MetaMask apresenta o Menpo, um banco de dados de incidentes DeFi no padrão STIX 2.1, na DeFi Security Summit
Na DeFi Security Summit 2023, Herman Junge apresentou o Menpo, um projeto que a equipe de segurança da MetaMask está desenvolvendo para padronizar a catalogação de incidentes DeFi usando o STIX 2.1. A iniciativa, criada por Junge, promove a colaboração entre organizações de analistas e pesquisadores de segurança para enriquecer o panorama compartilhado de inteligência de ameaças.
Gal Weizman conclui série de três partes no X sobre scuttling e Snow do LavaMoat
Dando continuidade ao thread do blog do mês anterior, Gal Weizman concluiu sua série de três partes no X explicando como o scuttling e o Snow do LavaMoat fortalecem a segurança da cadeia de suprimentos da MetaMask — e podem fazer o mesmo por outros aplicativos. O scuttling torna o objeto window do aplicativo praticamente inutilizável para código injetado, fechando um caminho comum para ataques baseados em navegador.
LavaMoat atualiza o ScorchWrap, testa Snow com CSP e contribui para o EIP-4361
O plugin webpack ScorchWrap agora usa @lavamoat/aa para identificar pacotes nas dependências e aplicar políticas ao importá-los, com trabalho adicional necessário nos builtins emulados pelo webpack, como buffer e crypto. A equipe também tentou oferecer suporte ao Snow com recomendações de Content Security Policy, mas considerou o CSP em iframe srcdoc insatisfatório; os próximos passos incluem limitar as APIs do DOM que aceitam entrada de texto para melhorar a segurança. O LavaMoat contribuiu para discussões sobre um tratamento mais explícito de esquemas no EIP-4361 e propôs um algoritmo de verificação de origem, além de ter feito o merge do exitModules hook no Endo. Separadamente, Zibi está liderando um workshop de Codificação Defensiva na AppSec Village da DefCon.
Golpes de pig butchering (shāz hū pán) de 2022 a 2023 mapeados em dashboard do Dune
Golpes de longa duração, nos quais agentes maliciosos atraem vítimas para uma falsa sensação de segurança com a promessa de retornos sobre investimentos, estão em ascensão. Esses esquemas — que frequentemente envolvem uma abordagem romântica e tiveram origem na China — são conhecidos como shāz hū pán, ou "abate do porco", porque o perpetrador "engorda" a vítima antes do "abate". Taylor Monahan, da equipe de segurança da MetaMask, compilou um dashboard no Dune que, em suas palavras, "tenta capturar a magnitude desses golpes por meio de dados concretos extraídos diretamente da blockchain e das histórias das pessoas, contadas com suas próprias palavras", observando que "esses golpistas estão integrando mais pessoas ao cripto do que qualquer organização legítima do setor. Tudo para roubar o dinheiro delas."
Golpes de fake mining exploram aprovações de tokens, detalhados em análise da Consensys
Um artigo no blog da Consensys escrito por Joel Willmore, "Fake 'Mining' Scams: A Familiar Foe in a New Disguise", explica como funcionam os golpes de USDT approval mining e liquidity mining, como reconhecê-los e como se proteger entendendo e protegendo as aprovações de tokens. O artigo inclui um dashboard no Dune criado por Harry Denley que rastreia os golpes. Para uma visão mais concisa, a MetaMask também publicou um artigo de suporte sobre golpes de fake mining voucher.
Revoke.cash alerta sobre golpe de aprovações falsas usando gas tokens distribuídos via airdrop
Revoke.cash destacou um novo golpe de aprovações falsas envolvendo "gas tokens" distribuídos via airdrop que enganam usuários, fazendo-os acreditar que possuem aprovações suspeitas que precisam ser revogadas. Os golpistas programam os tokens falsos para minerar uma grande quantidade de gas tokens durante uma transação de revogação, que são então enviados aos atacantes para venda. Como o popup da carteira exibe apenas uma taxa elevada, sem mostrar fundos saindo da carteira, o roubo é fácil de passar despercebido. Em resposta, o Revoke.cash adicionou uma verificação que desativa a revogação de aprovações quando a taxa de gas é excessiva, e recomenda ignorar transações inesperadas com taxas de gas muito altas.
Grupo Lazarus espalha malware npm em campanha de engenharia social contra desenvolvedores
De acordo com a Socket, o Grupo Lazarus lançou uma sofisticada campanha de engenharia social direcionada a desenvolvedores dos setores de criptomoedas e cibersegurança, utilizando contas comprometidas e pacotes npm carregados de malware. O artigo explica como funciona a cadeia de ataque, como se proteger e lista os pacotes npm maliciosos conhecidos.
Immunefi lista as 10 vulnerabilidades mais comuns em web3
A Immunefi publicou um resumo das 10 vulnerabilidades mais comuns em web3, abordando as vulnerabilidades em smart contracts que desenvolvedores e auditores devem observar para construir contratos seguros e robustos.
Taylor Monahan compartilha dicas de segurança para carteiras: hardware wallets, backups em papel e armazenamento descentralizado
Taylor Monahan compartilhou dicas práticas para manter os fundos seguros ao usar uma carteira web3: utilizar hardware wallets, a boa prática de baixa tecnologia de armazenar a Frase de Recuperação Secreta em papel, e descentralizar onde os fundos são armazenados.
Atualização semestral da Chainalysis: crimes cripto caem 65% enquanto ransomware avança
A Chainalysis publicou sua atualização semestral sobre crimes cripto, reportando que os crimes relacionados a criptomoedas caíram aproximadamente 65% no geral, mesmo com o ransomware direcionado em tendência de alta.
O Relatório de Segurança Cripto da MetaMask de julho de 2023 fez uma análise aprofundada dos golpes de pig butchering e fake mining que abusam de aprovações de tokens, um novo golpe de aprovações falsas usando gas tokens distribuídos via airdrop, e uma campanha de engenharia social do Grupo Lazarus espalhando malware npm para desenvolvedores de cripto e segurança. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
