Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Neste mês, nossa equipe se juntou ao Wallet Guard para um Twitter Space sobre o Estado da Segurança cripto, e Harry Denley, da Consensys, compartilhou as melhores práticas de segurança em smart contracts. Gal Weizman e Zbigniew Tenerowicz explicaram como o "scuttling" e o sandboxing do LavaMoat defendem contra ataques à cadeia de suprimentos JavaScript, e Herman Junge apresentou uma prévia do Menpo, um novo banco de dados de incidentes DeFi, antes do DeFi Security Summit. Também reunimos recursos de aprendizado, do DeFiHackLabs ao OWASP API Security Top 10. O resumo completo está abaixo, mas primeiro...
Pioneiro STEM em destaque: Bruce Voeller, biólogo e pesquisador da AIDS
Bruce Voeller (1934–1994) foi um biólogo americano e ativista pelos direitos LGBTQ+ amplamente reconhecido por ter cunhado o termo "AIDS". Ele fundou a Mariposa Education and Research Foundation, onde estudou a transmissão do HIV e a eficácia das medidas de proteção. A insistência de Voeller em pesquisas rigorosas e baseadas em evidências para proteger pessoas em risco reflete o mesmo padrão que um trabalho sólido de segurança exige: teste as premissas e, então, aja com base nos dados.
Nossa equipe se juntou ao Wallet Guard para o Estado da Segurança: Twitter Space MetaMask x Wallet Guard, conduzido por Taylor Monahan, para uma discussão aprofundada sobre segurança cripto. A conversa abordou a evolução das ameaças, a importância do open source e o incidente da Atomic Wallet, entre outros temas. O evento proporcionou aos ouvintes uma visão franca e nos bastidores de como ambas as equipes pensam sobre a proteção dos usuários em um cenário de ameaças em constante evolução.
Harry Denley, da MetaMask Security, compartilha as melhores práticas de segurança em smart contracts
Em uma edição do Coffee With Calyptus, Harry Denley, especialista em segurança da Consensys, compartilhou as melhores práticas de segurança em smart contracts e destacou dois projetos da MetaMask: MetaMask Snaps, que amplia as capacidades da MetaMask em um ambiente seguro, e o LavaMoat, que oferece proteções em tempo de execução dentro do ecossistema JavaScript. Denley enfatizou a importância de equilibrar segurança e funcionalidade: como os smart contracts são imutáveis, a segurança deve ser priorizada e qualquer funcionalidade adicionada deve ser testada rigorosamente, com um aumento gradual do valor bloqueado em um novo contrato como uma forma de proteger os usuários. Suas práticas recomendadas incluíram princípios de design seguro, bibliotecas confiáveis como OpenZeppelin, uma mentalidade de desenvolvedor orientada à segurança, testes abrangentes, revisões de código profissionais e educação contínua sobre riscos emergentes.
Herman Junge apresentará o Menpo, um banco de dados de incidentes DeFi em STIX 2.1, no DeFi Security Summit 2023
No DeFi Security Summit em Paris, em 15 de julho de 2023, Herman Junge apresentará o Menpo, um projeto que utiliza o STIX 2.1 para padronizar o registro de incidentes DeFi, conforme anunciado pelo summit. Ao fornecer um vocabulário compartilhado para descrever incidentes, o Menpo promove o compartilhamento de inteligência de ameaças entre organizações, permitindo uma alocação mais eficiente de recursos de segurança e o compartilhamento em tempo real de relatórios de incidentes à medida que se desenvolvem.
Palestra de Zbigniew Tenerowicz sobre defesa contra ataques à cadeia de suprimentos JavaScript
Em uma palestra no DevSecConf24, Zbigniew Tenerowicz (ZB) abordou a desafiadora questão de executar ou não código de desconhecidos. Apesar dos riscos inerentes, ele reconheceu que essa é uma prática comum no mundo da tecnologia. Ele explorou o universo dos projetos JavaScript, examinando especificamente como eles podem se proteger proativamente contra ataques à cadeia de suprimentos. Essa defesa proativa foi discutida sob a premissa de que uma dependência baixada já foi entregue com uma dependência maliciosa. ZB sugeriu métodos como restringir o acesso a variáveis globais para cada pacote e controlar a capacidade de um pacote de acessar a rede ou o sistema de arquivos.
Além disso, ele abordou a importante questão de eliminar a poluição de protótipos, uma vulnerabilidade comum em projetos JavaScript. ZB também voltou sua atenção para futuras funcionalidades do JavaScript, especialmente aquelas atualmente em discussão no TC39. Ele demonstrou como esses recursos emergentes podem ser utilizados para proteger projetos no presente. Para uma compreensão mais prática, ZB ofereceu uma demonstração ao vivo envolvente, mostrando como executar malware real com segurança, enfatizando assim a importância e a eficácia das medidas defensivas discutidas.
Gal Weizman explica o recurso de "scuttling" do LavaMoat
Gal Weizman explicou o "scuttling" do LavaMoat em termos simples. Aplicativos dependem de toneladas de código de terceiros, e qualquer parte pode se tornar maliciosa. O LavaMoat isola cada dependência com SES para que ela receba apenas o que precisa. Mas se uma escapar e alcançar o objeto global window — onde ficam as APIs poderosas — isso é um problema. O Scuttling remove essas APIs do window, de modo que uma dependência que escapar encontrará um beco sem saída. O aplicativo continua funcionando; o atacante, não.
Atualização do LavaMoat: palestra no React Summit, progresso no React Native mobile, Snow e ScorchWrap
Além da palestra no DevSecConf24, um vídeo sobre o mesmo tema do React Summit 2023 no Git Nation, também apresentado por Zbyszek, ficou disponível em 5 de julho de 2023. No lado mobile, uma análise aprofundada do código de animação nativa iOS do React Native (após uma investigação anterior) rastreou falhas em macros de asserção em nós pai e filho até falhas no carregamento de páginas WebView durante a navegação, ligadas à exclusão do polyfill global Promise do React Native em favor das Promises JSC nativas — atualmente necessário para inicializar a MetaMask mobile bloqueada com uma root view populada. Os próximos passos incluem corrigir os testes de fumaça end-to-end restantes do Detox iOS e, em seguida, acomodar o Android via Appium. Em outras frentes, o Snow recebeu atualizações corrigindo mais possíveis brechas, e a parte específica do webpack do plugin webpack ScorchWrap está se estabilizando, abrindo caminho para começar a integrar os recursos do LavaMoat.
Recursos de aprendizado: DeFiHackLabs, vetores de ataque a NFTs e o OWASP API Top 10
Embora os NFTs tenham se tornado cada vez mais populares, não há muitas informações claras e fáceis de entender disponíveis sobre eles, o que os torna alvos frequentes de golpistas e hackers. Este relatório destacou vários recursos de aprendizado. O SunWeb3Sec/DeFiHackLabs reproduz incidentes de hacks DeFi usando o Foundry — 233 incidentes até o momento — juntamente com uma análise das causas raiz dos incidentes e um repositório complementar para aprender vulnerabilidades comuns em smart contracts. O Quillhash/NFT-Attack-Vectors, mantido pela QuillAudits, cataloga métodos comuns usados para explorar NFTs. E o OWASP API Security Top 10 para 2023 lista os riscos de API contra os quais os desenvolvedores devem se proteger neste ano.
O Relatório de Segurança Cripto de junho de 2023 da MetaMask cobriu o inaugural Twitter Space sobre o Estado da Segurança MetaMask e Wallet Guard, as melhores práticas de segurança em smart contracts de Harry Denley no Coffee With Calyptus, e uma explicação sobre o recurso de "scuttling" do LavaMoat para defesa contra ataques à cadeia de suprimentos JavaScript. Confira edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
