Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em junho de 2024, a Consensys adquiriu a Wallet Guard para fortalecer a detecção de golpes e drainers da MetaMask, enquanto a MetaMask atualizou sua política de privacidade para maior transparência e controle, e a LavaMoat lançou um novo site. A Security Alliance também abriu um fundo de defesa legal para pesquisadores whitehat. No campo das ameaças, golpes de emprego vinculados a grupos APT ligados à Coreia do Norte continuaram mirando trabalhadores do setor cripto, um usuário perdeu US$ 11 milhões em phishing de assinatura, uma violação no fornecedor de e-mail da CoinGecko enviou dezenas de milhares de e-mails de phishing, e uma extensão maliciosa do Chrome chamada Aggr roubou mais de US$ 1 milhão ao coletar cookies de exchanges. A análise completa está abaixo, mas primeiro...
Destaque STEM: Ben Barres, neurobiologista que revelou o papel das células gliais
Ben Barres (1954–2017) foi um neurobiologista americano cuja pesquisa foi fundamental para descobrir como as células gliais interagem com os neurônios no sistema nervoso — demonstrando que as células de "suporte" do cérebro, por muito tempo ignoradas, são de fato essenciais para seu funcionamento e defesa. Ele também foi o primeiro cientista abertamente transgênero eleito para a Academia Nacional de Ciências dos EUA e um defensor vocal da equidade na ciência. Seu trabalho nos lembra que os sistemas que realizam o trabalho silencioso de proteção em segundo plano muitas vezes são os mais importantes.
MetaMask atualiza política de privacidade para maior transparência e controle dos dados pelos usuários
Privacidade e segurança andam de mãos dadas, e a MetaMask leva a privacidade dos usuários muito a sério. Neste mês, no espírito do consentimento informado, a MetaMask lançou uma política atualizada para informar aos usuários o que estamos fazendo para mantê-los seguros e oferecer maior transparência e controle sobre seus dados pessoais. Você pode ler nosso anúncio e o aviso completo, e conferir nossos recursos de Privacidade e Segurança.
A MetaMask pode processar temporariamente seu endereço IP apenas quando necessário para alguns de nossos Serviços (dependendo das suas configurações da MetaMask) para oferecer a melhor experiência possível aos usuários. Isso inclui, por exemplo, a prevenção de ataques DDoS.
Não coletamos suas chaves privadas.
Não vendemos suas Informações Pessoais.
Não coletamos nem retemos Informações Pessoais a menos que seja necessário para fornecer os Serviços e uma ótima experiência ao usuário.
Não coletamos informações financeiras de pagamento ou bancárias. No entanto, quando você usa nossos recursos de on ou offramp, esses serviços podem exigir que você envie essas informações a provedores terceiros.
Consensys adquire a Wallet Guard para aprimorar a segurança da MetaMask
Estamos extremamente animados com a chegada oficial da incrível equipe da Wallet Guard à MetaMask, avançando em nossa missão de oferecer a experiência mais segura possível aos usuários. Como o anúncio destacou, a integração "aprimorará a segurança da MetaMask ao melhorar a detecção de golpes e drainers por meio de validação de transações e heurísticas do lado do cliente, proporcionando assim aos usuários proteção em tempo real superior contra aplicativos descentralizados maliciosos e golpes, preservando a privacidade e a soberania individual."
LavaMoat lança novo site
Tudo sobre a LavaMoat agora está em lavamoat.github.io, incluindo um vídeo introdutório sobre como o conjunto de ferramentas open-source protege projetos JavaScript contra ataques à cadeia de suprimentos. Zbigniew Tenerowicz, da MetaMask, também levou o workshop de Codificação Defensiva que conduziu na DEFCON no verão anterior às conferências Confidence e X33FCON para divulgar a LavaMoat.
State of Security: MetaMask e Wallet Guard
A edição mais recente da série State of Security da MetaMask e Wallet Guard contou com Ryan Jones e Gal Weizman ao lado de Ohm e Michael para discutir simulações de transações, interoperabilidade, MetaMask Web e o uso da LavaMoat para proteção contra ataques à cadeia de suprimentos — além das dicas habituais para se manter seguro no universo cripto.
Golpes de emprego aumentam, com grupos ligados à Coreia do Norte mirando trabalhadores do setor cripto
O FBI dos EUA divulgou um comunicado alertando candidatos a vagas de trabalho remoto para que sejam cautelosos. Empregos em cripto e blockchain não foram especificamente mencionados, mas as equipes de Inteligência de Ameaças e Segurança do Usuário da MetaMask afirmam que a comunidade está sendo especialmente visada. Trate ofertas de emprego não solicitadas com desconfiança redobrada, nunca clique em links nem abra anexos de mensagens de fontes desconhecidas, e nunca se envolva se "você for orientado a fazer pagamentos em criptomoeda ao seu empregador como parte de um trabalho." Um número significativo desses golpes está vinculado a grupos de ameaças persistentes avançadas (APT) frequentemente patrocinados por estados — como um gerente de contratação, zak, disse sem rodeios: "literalmente todo desenvolvedor que entrevistamos recentemente provavelmente era norte-coreano." Empresas do setor cripto também devem ser extremamente vigilantes ao entrevistar candidatos, pois isso também se tornou um vetor de ataque popular. Certifique-se de conduzir entrevistas completas que incluam informações de antecedentes verificadas e consistentes, e exija que os candidatos estejam com a câmera ligada.
SEAL lança fundo de defesa legal para pesquisadores whitehat
Hackers éticos whitehat são um pilar fundamental do nosso setor. Esses pesquisadores descobrem e divulgam responsavelmente vulnerabilidades antes que agentes mal-intencionados possam explorá-las. No entanto, como a Security Alliance (SEAL) explicou recentemente, a história da web2 mostra que "esse trabalho importante pode, às vezes, gerar riscos legais significativos e custos subsequentes, especialmente quando suas pesquisas e divulgações são indesejadas ou mal compreendidas." Por isso, a SEAL lançou uma iniciativa com o Security Research Legal Defense Fund para fornecer recursos jurídicos a pesquisadores elegíveis que utilizem o Whitehat Safe Harbor Agreement.
Usuário perde US$ 11 milhões em phishing de assinatura
O que aconteceu
Em 22 de junho de 2024, um usuário assinou múltiplas assinaturas de phishing de permit, o que resultou em uma perda de US$ 11 milhões em tokens. Posteriormente, revelou-se que a vítima era um delegado de governança da MakerDAO. O pesquisador da SEAL, Pcaversaccio, acredita que o phishing de assinatura é o maior problema do nosso setor, afirmando que os usuários não prestam atenção aos avisos e não consideram as consequências de assiná-los. Taylor Monahan, da MetaMask, revelou uma estimativa total de mais de US$ 600 milhões em prejuízos causados por golpes de phishing de aprovação desde 2021.
Como os usuários podem se proteger
Os usuários podem se proteger seguindo três etapas principais.
Limite os ativos da carteira que você usa no dia a dia. Se você assinar uma assinatura maliciosa, o impacto será minimizado.
Valide o domínio de onde a solicitação de assinatura se origina e verifique se ele corresponde ao domínio do projeto original. Uma forma rápida de fazer isso é acessar as redes sociais ou o blog oficial do projeto e confirmar que os domínios desses perfis correspondem à solicitação.
Valide o token e os endereços contidos na solicitação. A solicitação frequentemente envolve um token que você não pretendia enviar. O endereço do gastador e/ou o endereço da transação será diferente do endereço pretendido.
Essas verificações simples podem ajudar a evitar perdas não intencionais de fundos.
23.000 e-mails de phishing seguem violação no fornecedor de e-mail da CoinGecko
O que aconteceu
A CoinGecko, um agregador de dados de criptomoedas, sofreu uma violação de dados em 5 de junho de 2024 por meio de uma conta comprometida em sua plataforma terceirizada de e-mail marketing, a GetResponse. O atacante acessou quase 2 milhões de contatos e enviou 23.723 e-mails de phishing a partir da conta de outro cliente, expondo nomes, e-mails, endereços IP e localizações dos usuários — embora as contas e senhas dos usuários da CoinGecko tenham permanecido seguras.
Como os usuários podem se proteger
Os usuários devem tratar com extrema cautela qualquer e-mail sobre reivindicação de airdrops ou tokens, e evitar clicar em links ou baixar anexos de e-mails não solicitados. Projetos cripto têm a responsabilidade de ser vigilantes quanto aos controles de segurança utilizados pelos fornecedores terceiros com quem trabalham.
Extensão maliciosa do Chrome rouba mais de US$ 1 milhão
O que aconteceu
A Aggr, inicialmente comercializada como um agregador de dados de trading, é uma extensão do Chrome que se revelou maliciosa. No início de junho de 2024, um usuário da Binance relatou uma perda de US$ 1 milhão que a SlowMist rastreou até o plugin Aggr. A SlowMist descobriu que a Aggr coletava os cookies dos traders — especificamente os vinculados a exchanges de criptomoedas — que os atacantes usaram para acessar os portais de exchanges centralizadas (CEX) e assumir o controle das contas das vítimas.
Como os usuários podem se proteger
A lição: seja vigilante com qualquer software que você instalar, incluindo extensões de navegador, e pesquise os desenvolvedores — prefira desenvolvedores verificados e de boa reputação em vez de contas anônimas sem histórico, e analise o histórico do aplicativo antes de confiar nele.
O Relatório de Segurança Cripto da MetaMask de junho de 2024 abordou a aquisição da Wallet Guard pela Consensys, a atualização da política de privacidade da MetaMask e uma série de ameaças, incluindo uma perda de US$ 11 milhões em phishing de assinatura, uma violação no fornecedor de e-mail da CoinGecko e uma extensão maliciosa do Chrome chamada Aggr que roubou mais de US$ 1 milhão. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
