Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em março de 2023, as equipes Endo e LavaMoat reformularam sua abordagem para bundling seguro — interrompendo um experimento com webpack-transform em favor de um webpack loader — ao mesmo tempo em que estenderam o scuttling global para child realms e reativaram o suporte ao React Native para o aplicativo mobile da MetaMask. A MetaMask também compartilhou duas palestras da temporada EthDenver: o cofundador Dan Finlay sobre Delegatable e o pesquisador de segurança Gal Weizman sobre JavaScript realms e Snow. A lição mais clara do mês, porém, foi manter cautela com airdrops: os golpes dispararam em torno da claim da Arbitrum, onde aproximadamente 2.400 carteiras foram comprometidas com antecedência, golpistas exploraram um falso snapshot de airdrop da MetaMask para atrair usuários a sites de phishing, e golpes cópias miraram Polkadot, Shiba Inu e um token falso da OpenAI. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Faith Lillibridge, operadora do supercomputador NORC da Columbia
Faith Lillibridge é fotografada no console do NORC (Naval Ordnance Research Calculator) no quinto andar do Watson Scientific Computing Laboratory da Universidade Columbia, em 1954. Construído pela IBM para a Marinha dos EUA, o NORC era, em sua inauguração em 1954, o computador mais poderoso do mundo. Os operadores que gerenciavam máquinas como essa transformaram hardware do tamanho de uma sala em computação confiável e repetível — o mesmo trabalho disciplinado e preciso que ainda sustenta sistemas confiáveis hoje.
Endo interrompe sua abordagem com webpack-transform e adiciona exitModuleImportHook para lavamoat-node
As tentativas da Endo de se integrar às transformações do webpack sem comprometer as declarações originais de import/export se mostraram malsucedidas, a menos que o webpack fosse desconstruído e utilizado como framework para construir um bundler. A Endo decidiu interromper esse esforço e buscar uma solução mais simples, experimentando um novo método no toolkit open-source LavaMoat. Separadamente, a atualização mais recente do compartment-mapper da Endo adicionou o exitModuleImportHook, que permite a importação dinâmica de exit modules em vez de exigir uma lista pré-construída — o último recurso significativo necessário para que o compartment-mapper funcione como backend para o lavamoat-node. A whitelist Endo SES também recebeu uma atualização menor para o React Native Android JSC em endojs/endo #1511, encerrando uma issue #660 de longa data (rastreada mais recentemente em LavaMoat/docs #16) e sendo examinada mais detalhadamente na React Native JSC build scripts issue #181.
LavaMoat testa um webpack loader e estende o scuttling global para child realms
O LavaMoat começou a explorar uma abordagem alternativa para bundling seguro usando um webpack loader para implementar a compartimentalização, adicionando o runtime posteriormente. Como as camadas acima dos loaders permanecem inalteradas, a maioria dos recursos, como tree-shaking, continua funcionando; o principal risco é que plugins personalizados possam alterar o código de maneiras imprevistas. O recurso de segurança scuttling agora pode ser aplicado a todos os potenciais child realms de mesma origem (como iframes) configurando a opção experimental "scuttleGlobalThis" em conjunto com o Snow (progresso aqui). Uma atualização menor nos exemplos do LavaMoat Browserify foi incluída em LavaMoat/LavaMoat #476.
LavaMoat reativa o suporte ao React Native para o aplicativo mobile da MetaMask
O suporte ao React Native foi reativado, começando novamente com a integração do Endo SES lockdown — originalmente voltado para RN v0.66.5 e agora para RN v0.71.4 — com a integração ao aplicativo mobile da MetaMask em andamento. O progresso é acompanhado na LavaMoat React Native epic.
Dan Finlay apresenta "Better Dapps with Delegatable" no EthDenver
Dan Finlay fez sua estreia no EthDenver em 2023 com uma palestra sobre Delegatable, compartilhando uma visão de como a delegação pode tornar o desenvolvimento de aplicações descentralizadas mais seguro e acessível. Como ele disse: "Há muitas pessoas fazendo claims de airdrops e depois tendo todo o seu dinheiro roubado… O Delegatable permite que você faça qualquer coisa que possa fazer em um contrato para outra conta. Ele tem um sistema de ressalvas aberto para que você possa restringir a capacidade que está compartilhando da forma que quiser. E isso permite que você mantenha hot wallets mais frias, limitando o que elas podem fazer enquanto ainda permite que realizem ações on-chain."
Gal Weizman apresenta "JS Realms, Security Blank Spot"
Gal Weizman fez uma palestra sobre os crescentes perigos dos ataques à cadeia de suprimentos relacionados a dependências, e como o Snow JS pode ajudar a cobrir as lacunas. Os tópicos incluíram a evolução da web, a importância da segurança e visibilidade, soluções de terceiros, JavaScript realms e Snow JS.
Golpes de airdrop disparam enquanto hackers se passam por , com um falso snapshot da MetaMask usado para phishing
Atividades suspeitas em torno de airdrops aumentaram drasticamente em março de 2023. No mês anterior, a MetaMask publicou uma visão geral dos perigos de rugpulls e golpes de airdrop, lembrando os usuários que ofertas de "dinheiro grátis" são uma isca comum usada por agentes mal-intencionados. Foi exatamente isso que aconteceu quando golpistas espalharam nas redes sociais uma afirmação falsa de que a MetaMask faria um snapshot ou realizaria um airdrop em 31 de março — uma isca projetada para direcionar usuários a sites de phishing que roubam fundos de qualquer pessoa que tente reivindicar os tokens inexistentes. A MetaMask denunciou o golpe e alertou a comunidade em 29 de março de 2023, advertindo que a afirmação falsa era "não apenas mentira, mas… perigosa", precisamente porque cria brechas para golpistas e phishers que visam os ativos dos usuários. Golpes de airdrop cópias se passando por Polkadot, Shiba Inu e um falso token OpenAI DeFi (GPT-4) usaram o mesmo manual ao longo do mês.
Aproximadamente 2.400 carteiras visadas antes do airdrop da Arbitrum
Dias antes do airdrop da Arbitrum, a Arkham reportou em 20 de março de 2023 que um hacker havia passado as 12 horas anteriores enviando fundos para cerca de 2.400 carteiras presumivelmente comprometidas, que então aprovaram o token ARB em antecipação à claim, a partir do endereço 0x59d4...fb19. Após o ocorrido, a CoinDesk cobriu o quanto pode dar errado em sua matéria "Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be."
Alerta de exposição da Chave de API Global do Cloudflare para equipes web3
A pesquisadora de segurança da MetaMask Taylor Monahan (@tayvano_) instou as equipes que usam o Cloudflare para produtos web3 a agir imediatamente em 24 de março de 2023: rotacionar a Chave de API Global de todas as contas e remover quaisquer contas adicionadas ao Cloudflare, a menos que sua Chave de API Global já tivesse sido rotacionada. A Chave de API Global legada carrega acesso completo à conta, tornando sua exposição especialmente perigosa.
Convite para "conferência" no metaverso usado como isca de engenharia social
O Trading Uncle (@thetradingunc) documentou uma tentativa de engenharia social em 14 de março de 2023 na qual uma conta enviou uma mensagem direta elogiando o conteúdo do alvo e convidando-o a palestrar em uma "conferência" no metaverso ao lado de outros painelistas — uma abordagem projetada para baixar a guarda do alvo antes de aplicar um golpe.
O Relatório de Segurança Cripto de março de 2023 da MetaMask cobriu um aumento nos golpes de airdrop — incluindo um falso snapshot da MetaMask usado para phishing —, aproximadamente 2.400 carteiras comprometidas antes do airdrop da Arbitrum e um alerta sobre a Chave de API Global do Cloudflare para equipes web3. Confira as edições anteriores do MetaMask Crypto Security Report para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
