Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em junho de 2022, os projetos Endo e LavaMoat lançaram suporte a import.meta, require.resolve e Yarn 3 para fortalecer o pipeline de build, enquanto o programa de bug bounty da MetaMask entrou no ar no HackerOne. No lado das métricas, o Computer Incident Response Team encerrou 38 tickets no primeiro semestre de 2022 com um tempo médio de reparo de 40,39 dias, e a MetaMask descontinuou os métodos de API eth_decrypt e eth_getEncryptionPublicKey por questões criptográficas. Duas divulgações foram destaque do mês: a Halborn recebeu US$ 50.000 por identificar a "Demonic" (CVE-2022-32969), uma vulnerabilidade de criptografia de disco que poderia deixar uma Frase de Recuperação Secreta armazenada em texto simples em um drive não criptografado, e o United Global Whitehat Security Team levou para casa uma recompensa de US$ 120.000 por uma falha crítica de clickjacking na Extensão. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Whitfield Diffie, co-inventor da criptografia de chave pública
Whitfield Diffie, ao lado de Martin Hellman e Ralph Merkle, publicou "New Directions in Cryptography" em novembro de 1976, introduzindo o protocolo de troca de chaves Diffie-Hellman, que tornou possível a comunicação segura sem um segredo pré-compartilhado. O protocolo é a base do TLS, SSH e dos canais criptografados nos quais os usuários de carteiras com autocustódia dependem todos os dias. Diffie recebeu o Prêmio Turing da ACM em 2015 e foi incluído no National Inventors Hall of Fame em 2011.
Vulnerabilidade de clickjacking rende recompensa de US$ 120.000 para a UGWST
A MetaMask concedeu uma recompensa de US$ 120.000 ao United Global Whitehat Security Team (UGWST) pela divulgação responsável de uma vulnerabilidade crítica de clickjacking na Extensão MetaMask. O ataque renderizava a interface da extensão como um iframe invisível sobreposto a um site malicioso, induzindo os usuários a aprovar transações e revelar dados privados sem perceber. Nenhuma exploração conhecida ocorreu antes do patch. Usuários com a versão 10.14.6 ou posterior da Extensão MetaMask estão protegidos.
Divulgação "Demonic" da Halborn revela risco de criptografia de disco para carteiras de navegador
Pesquisadores de segurança da Halborn divulgaram a CVE-2022-32969, codinome "Demonic", uma vulnerabilidade na qual uma Frase de Recuperação Secreta inserida durante a importação poderia ser armazenada em disco em texto simples pelo mecanismo de restauração de sessão do navegador. O risco se aplicava quando três condições eram atendidas: o disco rígido não estava criptografado, a Frase de Recuperação Secreta foi importada em um dispositivo comprometido ou não confiável, e a caixa de seleção "Mostrar Frase de Recuperação Secreta" foi ativada durante a importação. A MetaMask implementou mitigações na versão 10.11.3 e posteriores da Extensão. O MetaMask Mobile não foi afetado. A Halborn recebeu US$ 50.000 pela descoberta.
Resposta a incidentes da MetaMask encerra 38 tickets no primeiro semestre de 2022 com MTTR de 40,39 dias
O Computer Incident Response Team (CIRT) da MetaMask encerrou 38 tickets durante o primeiro semestre de 2022. Reportadores externos submeteram a maioria, mais que o dobro do total combinado de auditorias e fontes internas. Por responsável, a equipe da Extensão tratou a maior parte, seguida por questões com foco em Segurança (entre produtos) e Mobile. Dos 38 tickets, 13 tinham uma pontuação CVSS: 1 Crítico — a vulnerabilidade de clickjacking com bounty — 9 Médios e 3 Baixos. Os tickets enviados por reportadores foram resolvidos mais rapidamente, com 28,53 dias por problema. O Tempo Médio de Reparo geral foi de 40,39 dias.
eth_decrypt e eth_getEncryptionPublicKey descontinuados por questões criptográficas
A MetaMask descontinuou os métodos de API eth_decrypt e eth_getEncryptionPublicKey. Ambos os métodos, desenvolvidos de acordo com a EIP-1024 (desde então abandonada), reutilizam a mesma chave privada em diferentes curvas elípticas para assinatura e criptografia, uma prática que abre vetores de ataque adicionais. Não existem exploits conhecidos, mas o design foi considerado insuficientemente seguro para continuar sendo promovido. Os métodos permanecem funcionais para dar tempo aos integradores terceiros de migrarem.
Suporte a import.meta e require.resolve do Endo concluído
O projeto Endo integrou o suporte a import.meta para Compartments, exigindo ajustes no plugin Babel em static-module-record para garantir que os nós import.meta sejam visitados e transformados mesmo dentro de definições de exportação já transformadas. Um PR de acompanhamento adicionando suporte a import.meta.url ao compartment-mapper (endojs/endo #1202) trouxe suporte a import.meta.url para a funcionalidade importLocation do compartment-mapper (não disponível em Archives). Separadamente, a função require.resolve foi adicionada à implementação CommonJS, lançando erro por padrão, mas aceitando uma implementação personalizada via ReadPowers. Essas mudanças concluíram o roadmap de suporte a CJS planejado.
LavaMoat adiciona suporte ao Yarn 3 e negações explícitas de política
O LavaMoat lançou o suporte ao Yarn 3 para allow-scripts, adicionando um plugin para lidar com a configuração do yarn em checkouts iniciais de projetos protegidos. Uma segunda atualização introduziu valores false explícitos em policy-overrides.json, permitindo que projetos neguem dotações específicas e evitem a exposição excessiva de campos de objetos durante mesclagens de políticas.
Programa de bug bounty no HackerOne é lançado
A MetaMask lançou seu programa de bug bounty no HackerOne em junho de 2022, cobrindo o repositório GitHub da Extensão MetaMask e o repositório GitHub do MetaMask Mobile.
O Relatório de Segurança Cripto da MetaMask de junho de 2022 cobriu a recompensa de US$ 120.000 por clickjacking concedida à UGWST, a divulgação da vulnerabilidade de criptografia de disco "Demonic" da Halborn que afetou carteiras de navegador, e a descontinuação do eth_decrypt e eth_getEncryptionPublicKey pela MetaMask por questões criptográficas. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
