Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Em julho de 2024, o programa de bug bounty da MetaMask no HackerOne recebeu elogios dos fundadores da HackerOne, enquanto Zbigniew Tenerowicz e Gal Weizman, do Security Lab, levaram o LavaMoat, o LavaDome e o isolamento de DOM para o x33fcon, o BlueHatIL e o OWASP. Em outras frentes, a proposta Realms Initialization Control da MetaMask entrou em incubação. No campo das ameaças, a WazirX perdeu mais de US$ 230 milhões em um exploit de multisig, uma vulnerabilidade no Squarespace permitiu a tomada de domínios em toda a indústria, uma violação na lista de e-mails do Ethereum.org expôs 35.000 usuários a um ataque de drenagem, e o FBI alertou sobre o aumento de golpes de emprego cripto. A análise completa está abaixo, mas primeiro...
Pioneiro STEM em destaque: César Milstein, pioneiro ganhador do Nobel em anticorpos monoclonais
César Milstein (1927–2002) foi um bioquímico argentino que compartilhou o Prêmio Nobel de Fisiologia ou Medicina de 1984 pelo desenvolvimento da técnica de produção de anticorpos monoclonais. Os anticorpos são as ferramentas de precisão do sistema imunológico — projetados para reconhecer e neutralizar uma ameaça específica — e o trabalho de Milstein tornou possível produzi-los de forma confiável em escala. Essa ideia de detecção de ameaças direcionada e reproduzível é exatamente o que as ferramentas modernas de segurança buscam alcançar.
O programa de bug bounty da MetaMask no HackerOne recebe elogios dos fundadores
O programa de bug bounty da MetaMask foi reconhecido pelos dois fundadores do HackerOne, Jobert Abma e Michiel Prins, por adotar rapidamente novas melhorias de política — Open Scope, que recompensa relatórios em todos os ativos da MetaMask com base no impacto, e Fast Payment, que se compromete a realizar o pagamento dentro de um mês após o recebimento do relatório. Nos 90 dias anteriores, o programa recebeu 120 relatórios, teve uma média de 3 dias e 15 horas entre o envio e o pagamento do bounty, e pagou US$ 266.000 até o momento. A MetaMask agradeceu à sua comunidade de pesquisadores — incluindo pkkr, imnarendrabhati, p1security, Nicocha30, T41nk, René Kroka, renniepak, hackerOnTwoWheels e redyetihacks — e convida qualquer pessoa que encontre uma vulnerabilidade a reportá-la por meio do seu programa no HackerOne.
Zbigniew Tenerowicz fala sobre codificação defensiva no x33fcon
Zbigniew Tenerowicz, do MetaMask Security Lab, está em ação novamente! Em junho de 2024, ZB participou do x33fcon, um encontro para profissionais de segurança de TI "onde o red encontra o blue", realizando uma lightning talk e conduzindo um workshop sobre codificação defensiva. É mais um passo em seu esforço para evangelizar a segurança da cadeia de suprimentos — o foco central do LavaMoat. Tanto sua palestra quanto uma entrevista estão disponíveis agora.
Gal Weizman apresenta isolamento de DOM no BlueHatIL e na OWASP, e a proposta Realms Initialization Control entra em incubação
Gal Weizman, também do MetaMask Security Lab, apresentou sobre isolamento de DOM e o projeto LavaDome no BlueHatIL da Microsoft e na conferência Global AppSec da OWASP Lisboa, examinando como a diferença entre proteger arquiteturas centralizadas e descentralizadas expande os limites da segurança de aplicações web. Além disso, ele informou que uma proposta de Realms Initialization Control apresentada pela MetaMask foi aprovada para incubação pelo Web Incubator Community Group. A implementação dessa proposta deverá fornecer, eventualmente, uma solução nativa em nível de navegador para o "problema de mesma origem" que o projeto Snow originalmente se propôs a resolver — um passo importante em direção à proteção de um complexo problema de segurança web no lado do cliente.
Entendendo a ameaça do grupo DPKR Lazarus ao cripto e sua campanha TraderTraitor
Taylor Monahan, da MetaMask Security, investigou uma nova campanha chamada TraderTraitor, conduzida por membros do grupo Lazarus, uma ameaça persistente avançada (APT) vinculada à Coreia do Norte. O TraderTraitor utiliza spearphishing para atacar funcionários de empresas cripto e roubar milhões. Qualquer pessoa que trabalhe no setor cripto, em qualquer nível, deve se considerar em risco, alerta Monahan. Seus conselhos: elimine pontos únicos de falha, use hardware wallets e MFA por hardware, não execute nem construa código de desconhecidos, use dispositivos diferentes para comunicação e para acessar cripto, aprenda com os erros dos outros, eduque as pessoas ao seu redor e mantenha-se cético.
Golpistas são golpeados: Pink Drainer sofre envenenamento de endereço e perde US$ 30.000
Em uma reviravolta irônica, o infame grupo de golpes Pink Drainer foi vítima de um golpe de envenenamento de endereço, perdendo cerca de US$ 30.000 em ether após ser enganado e enviar fundos para um endereço falso que se assemelhava muito a um legítimo. A empresa de conformidade em criptomoedas MistTrack reportou o incidente, destacando a ironia de golpistas sendo golpeados. O Pink Drainer havia acabado de anunciar sua aposentadoria em maio de 2024, após roubar milhões de carteiras cripto.
Violação em lista de e-mails de terceiros do Ethereum.org expõe 35.000 usuários a um ataque de drenagem
Em 2 de julho de 2024, o Ethereum informou que sua lista de e-mails foi comprometida, expondo mais de 35.000 usuários a uma tentativa de phishing. O atacante enviou um e-mail se passando por uma colaboração com a Lido DAO, direcionando os destinatários a um site que prometia altos retornos em Ethereum em staking, mas que era, na verdade, um drainer. A equipe de segurança do Ethereum bloqueou rapidamente o ataque, alertou a comunidade e enviou o link malicioso para listas de bloqueio; nenhuma perda foi reportada, e o Ethereum iniciou a migração dos serviços de e-mail para reforçar a segurança.
Vulnerabilidade no Squarespace permite ataques de tomada de domínio
O que aconteceu
Pesquisadores descobriram que configurações de segurança fracas no processo de registro de domínios do Squarespace permitiram que atacantes sequestrassem domínios. Verificação insuficiente e a possibilidade de alterar configurações de domínio sem autenticação adequada permitiram que eles assumissem o controle, redirecionassem o tráfego e potencialmente roubassem informações sensíveis. Em seu post-mortem do incidente, o Squarespace apontou fraquezas relacionadas ao OAuth como causa, afirmou ter corrigido o problema e informou que não houve comprometimentos adicionais. Após uma resposta coordenada em toda a indústria, samczsun — com Taylor Monahan da MetaMask Security, AndrewMohawk e outros — publicou uma retrospectiva.
Como os usuários podem se proteger
Os usuários devem reforçar suas contas no Squarespace habilitando a autenticação de dois fatores (2FA) e removendo colaboradores desnecessários, além de considerar registradores que suportem tokens de hardware para 2FA.
WazirX perde mais de US$ 230 milhões em um exploit de multisig
A exchange e plataforma de negociação cripto indiana WazirX sofreu um ciberataque em uma de suas carteiras multi-assinatura (multisig), perdendo mais de US$ 230 milhões. A carteira, gerenciada pelo serviço de custódia de ativos digitais da Liminal, exigia múltiplos signatários — três da WazirX e um da Liminal — mas o ataque explorou uma discrepância entre o que a interface da Liminal exibia e o conteúdo real da transação, provavelmente substituindo o payload para transferir o controle ao atacante. O incidente serve como lembrete de que soluções de custódia controlam a retirada de fundos, enquanto apenas o usuário controla os fundos com carteiras de autocustódia. A WazirX está promovendo um bounty de até US$ 23 milhões para ajudar a identificar, rastrear e recuperar os fundos roubados.
FBI alerta sobre o aumento de golpes de emprego em criptomoedas
Em junho de 2024, o Federal Bureau of Investigation (FBI) divulgou um aviso de serviço público sobre golpes de emprego em criptomoedas, nos quais fraudadores se passam por empregadores legítimos para atrair vítimas com falsas oportunidades de trabalho. Neste mês, a agência publicou uma análise mais aprofundada sobre como esses golpes de emprego funcionam e o que observar. Eles geralmente envolvem convencer as vítimas a criar contas de criptomoedas ou transferir fundos, resultando no roubo do seu dinheiro. O FBI aconselha os candidatos a emprego a serem cautelosos com ofertas de trabalho não solicitadas, verificar a legitimidade dos empregadores e evitar compartilhar informações pessoais ou financeiras com fontes não verificadas. As vítimas desses golpes são incentivadas a reportar os incidentes ao Internet Crime Complaint Center (IC3) do FBI. Além dos golpes que visam candidatos a emprego, as empresas também devem estar atentas a ataques durante o processo de entrevista e a ameaças internas — um risco evidenciado por relatos de operativos norte-coreanos tentando se passar por trabalhadores remotos de TI e malware de falsa entrevista de emprego direcionado a Macs.
O Relatório de Segurança Cripto de julho de 2024 da MetaMask abordou o reconhecimento do programa de bug bounty no HackerOne, o exploit de multisig da WazirX que resultou em perdas de mais de US$ 230 milhões, e uma série de ameaças envolvendo uma vulnerabilidade de tomada de domínio no Squarespace, uma violação na lista de e-mails do Ethereum.org e o aumento de golpes de emprego em criptomoedas. Confira as edições anteriores do MetaMask Crypto Security Report para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
