Relatório de Segurança Cripto: Março 2024

Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.

Março de 2024 foi marcado por uma intensa atividade em torno do ETHDenver, onde a MetaMask realizou um security spotlight e co-organizou um evento State of Security com a Wallet Guard, além de novas adições ao beta do Snaps — um snap de simulação de transações DeFi Armor e um snap de insights de assinatura da Happy Harpie. No campo das ameaças, um ataque ao serviço Inferno Drainer resultou em US$ 2,5 milhões roubados; usuários da FTX e da BlockFi perderam mais de US$ 7 milhões em uma campanha de phishing por e-mail do Pink Drainer; e uma exploração dos contratos baseados em MakerDAO da Curio custou mais de US$ 16 milhões. A análise completa está abaixo, mas primeiro...

Pioneira STEM em destaque: Kono Yasui, citologista e primeira mulher doutora em ciências do Japão

Kono Yasui (1880–1971) foi uma citologista e botânica japonesa que, em 1927, tornou-se a primeira mulher japonesa a obter um doutorado em ciências. Sua pesquisa abrangeu citologia e genética vegetal, incluindo estudos detalhados da estrutura de plantas formadoras de carvão, e ela trabalhou para abrir a educação científica às mulheres. A atenção meticulosa de Yasui à estrutura em nível microscópico — enxergando o que outros ignoravam — reflete o mesmo olhar criterioso que um trabalho cuidadoso de segurança exige.

Histórias do Snaps: Account Management Snaps, um snap de simulação DeFi Armor e os insights de assinatura da Harpie

A linha de Security Snaps está crescendo. A MetaMask adicionou um novo snap de simulação de transações do DeFi Armor, que sinaliza uma transação e explica o motivo sempre que ela não passa pela política de segurança personalizada e curada do DeFi Armor. Também é novidade um snap de insights de assinatura do projeto de hackathon ETHDenver da Happy Harpie, que decodifica assinaturas, verifica endereços presentes em um payload de assinatura na Harpie para identificar os maliciosos, e lê assinaturas de listagens de NFTs no Seaport para alertar quando uma listagem está com preço bem abaixo do piso. Enquanto isso, o beta aberto dos Account Management Snaps continua disponível para teste, com snaps da Capsule, Safeheron e Silent Shard.

MetaMask realiza um security spotlight no ETHDenver

A MetaMask realizou um evento security spotlight no ETHDenver 2024, contando com a presença de parceiros da Alterya, Blockaid, Chain Patrol, Forta, Hexagate, Hypernative, Karma3 Labs, Paradigm e Wallet Guard. As gravações em vídeo já estão disponíveis para todos!

MetaMask e Wallet Guard realizam o evento State of Security X de março de 2023

O mais recente evento State of Security X da MetaMask e da Wallet Guard foi co-apresentado por Ian Wallis, Ohm Shah e Michael K. Os temas abordados incluíram preparação para o futuro, ameaças atuais e futuras de IA, as mais recentes técnicas de engenharia social e phishing, riscos de airdrops e farming, além de uma cobertura especial das discussões de segurança do ETHDenver.

A Blockchain Security Series da Blockfence apresenta Taylor Monahan, da equipe de segurança da MetaMask

No episódio 3 da Blockchain Security Series da Blockfence, Taylor Monahan, da MetaMask, se juntou ao chefe de pesquisa em segurança da Blockfence, Pablo Sabbatella, para discutir por que os desenvolvedores devem proteger seus usuários, o apreço compartilhado por hackers white-hat e uma série de ataques a carteiras mais antigas ocorrida no abril anterior. Sua principal conclusão foi dupla. Primeiro, nunca armazene sua Frase de Recuperação Secreta em um gerenciador de senhas. Segundo, trate a segurança como um hábito contínuo, e não como uma configuração única — faça uma pequena coisa por dia para melhorá-la, de modo que esses pequenos passos se acumulem ao longo do tempo. Isso pode ser revogar aprovações de tokens que você não usa mais, transferir alguns fundos para uma carteira de hardware ou ativar a autenticação de dois fatores baseada em aplicativo para uma conta.

Inferno Drainer é comprometido em US$ 2,5 milhões

Em 18 de março de 2024, o Inferno Drainer, um kit de "drainer como serviço" que golpistas alugam para realizar phishing em vítimas e esvaziar suas carteiras, foi hackeado em US$ 2,5 milhões. O pesquisador de segurança ZachXBT compartilhou uma mensagem vazada de um grupo de chat de clientes do Inferno Drainer revelando que o atacante havia atualizado o endereço de pagamento de todos os clientes para o seu próprio. Como os clientes do Inferno Drainer são eles próprios golpistas, isso significou que os próprios usuários do drainer foram enganados: qualquer carteira que eles conseguiram phishing naquele dia enviou os fundos roubados para o atacante, e não para eles.

Embora o ataque tenha ocorrido fora das redes blockchain — dentro da própria operação do Inferno Drainer, e não on-chain —, os US$ 2,5 milhões ainda foram roubados de vítimas de phishing em primeiro lugar, e vítimas de golpes frequentemente são alvejadas novamente após uma primeira perda. É um lembrete para ter cautela com links compartilhados em redes sociais, já que até contas confiáveis são hackeadas; mantenha fundos substanciais em uma carteira de hardware; guarde apenas ativos mínimos em carteiras de uso diário; e use contas diferentes para diferentes níveis de risco.

Usuários da FTX e da BlockFi perdem mais de US$ 7 milhões em uma campanha de phishing por e-mail

Usuários da FTX e da BlockFi perderam mais de US$ 7 milhões na mainnet do Ethereum em uma campanha de phishing durante a semana de 18 de março de 2024. O ataque teve duas partes. Fora da blockchain, o phishing em si se baseou em e-mails enviados para uma lista de endereços de destinatários supostamente roubada no comprometimento da MailerLite, uma violação da plataforma de e-mail marketing utilizada por diversas empresas cripto, que entregou aos atacantes listas prontas de usuários para atingir. Na blockchain, o roubo em si ocorreu quando uma vítima assinou uma assinatura maliciosa ou interagiu com um contrato malicioso — momento em que o agente de ameaça utilizou o drainer como serviço (DaaS) Pink Drainer para transferir os fundos da carteira. Os usuários devem ter cautela com qualquer e-mail que solicite a conexão de uma carteira ou a assinatura de uma transação, e sempre verificar a legitimidade por meio dos canais oficiais.

Contrato baseado em MakerDAO da Curio é explorado em US$ 16 milhões

No fim de semana de 23 de março de 2024, o Curio Ecosystem reportou que seus contratos inteligentes baseados em MakerDAO no Ethereum haviam sido explorados, resultando em uma perda total de mais de US$ 16 milhões; os contratos na Polkadot e na própria Curio Chain permaneceram seguros. A Curio publicou posteriormente um roadmap de estratégia de recuperação declarando que 100% dos fundos seriam restituídos aos usuários. Todos os detentores do token de governança da Curio foram afetados e, como o ataque explorou uma vulnerabilidade nos próprios contratos da Curio, havia pouco que os usuários individuais pudessem ter feito. Para desenvolvedores de protocolos, a lição é auditar contratos inteligentes de forma minuciosa e contínua a cada novo lançamento, e manter um programa de bug bounty para que pesquisadores possam identificar vulnerabilidades antes que os atacantes o façam.

O Relatório de Segurança Cripto da MetaMask de março de 2024 cobriu os eventos de segurança da MetaMask no ETHDenver e as novas adições ao Snaps, o comprometimento de US$ 2,5 milhões do serviço Inferno Drainer e uma campanha de phishing por e-mail do Pink Drainer que custou aos usuários da FTX e da BlockFi mais de US$ 7 milhões. Confira as edições anteriores do MetaMask Crypto Security Report para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.