Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
A maior história deste mês: nossos pesquisadores Taylor Monahan e Harry Denley continuaram investigando um hack multichain de aproximadamente US$ 10 milhões que drenou as carteiras de cerca de 300 usuários antigos de cripto cujas Secret Recovery Phrases foram expostas. A FTC também alertou sobre e-mails de phishing se passando por empresas de cripto, e um prático checklist de investigação de drenagem de carteiras circulou amplamente. No lado de engenharia, o LavaMoat incorporou 27 atualizações de dependências e avançou em seu plugin ScorchWrap, no hardening do MetaMask Mobile e no recurso de "scuttling"; o Endo melhorou o tratamento de erros CommonJS; e a palestra "Eval all the Strings!" sobre Hardened JavaScript de Zbigniew Tenerowicz foi ao ar. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Ada Lovelace, a primeira programadora de computadores
Ada Lovelace (1815–1852) foi uma matemática inglesa considerada a primeira programadora de computadores por seu trabalho na proposta de Máquina Analítica de Charles Babbage, incluindo um algoritmo para calcular os números de Bernoulli. Ela também previu que tal máquina poderia fazer muito mais do que cálculos puros. Essa insistência precoce em lógica precisa e verificável é a mesma disciplina da qual a segurança de software confiável ainda depende.
Atualização do LavaMoat: 27 pull requests de dependências, ScorchWrap, bloqueio mobile e scuttling
O LavaMoat incorporou 27 pull requests individuais com atualizações de dependências em seus pacotes, incluindo correções para vulnerabilidades conhecidas, e lançou versões menores com dependências atualizadas e correções de compatibilidade com Node.js 18. O trabalho continuou no plugin webpack ScorchWrap, com avanços na inclusão do runtime no próprio bundle e descobertas sobre compatibilidade com outros plugins. Nossa equipe também continuou trabalhando nas proteções de supply chain do LavaMoat para o MetaMask Mobile — para que mesmo uma dependência comprometida não consiga acessar APIs sensíveis do navegador. Como parte desse esforço, a equipe resolveu exceções não capturadas (TypeErrors lançados por bibliotecas como ethjs) que apareciam ao depurar no Chrome V8. Trabalhos relacionados avançaram no "scuttling", um recurso que desabilita o acesso a globals comuns em toda a janela quando os endowments de um pacote seriam muito amplos.
Endo melhora o erro de módulo CommonJS ausente no compartment-mapper
O Endo melhorou o erro de módulo CommonJS ausente em seu compartment-mapper, tornando as falhas mais claras quando um módulo requerido não pode ser encontrado.
Palestra "Eval all the Strings!" de Zbigniew Tenerowicz sobre Hardened JavaScript
O Zbigniew Tenerowicz (ZB) da MetaMask fez uma palestra rápida chamada Eval all the Strings! no Node Congress em Berlim em abril de 2023. Em pouco mais de 7 minutos, ZB discutiu Secure ECMAScript (SES) e Compartments — ambas propostas TC39 — e as ferramentas que está desenvolvendo para torná-las utilizáveis. Em suas palavras: "SES + tooling (LavaMoat ou Endo) está tornando possível limitar o acesso à rede, fs, módulos core ou globals por pacote… Para mim, este é o passo final para proteger a supply chain do npm — mesmo que um pacote seja tomado por agentes maliciosos, ele não conseguirá me prejudicar."
"Esta palestra é sobre SecureEcmaScript e Compartments, que são propostas TC39, e estou trabalhando em ferramentas para tornar esses conceitos utilizáveis com pessoas que defendem essas propostas. Este é um relato em primeira mão do futuro da segurança JavaScript. SES + tooling (LavaMoat ou Endo) está tornando possível limitar o acesso à rede, fs, módulos core ou globals por pacote. Quero mostrar como funcionam, quais possibilidades abrem e como fazer esse futuro acontecer hoje com algum esforço. Para mim, este é o passo final para proteger a supply chain do npm — mesmo que um pacote seja tomado por agentes maliciosos, ele não conseguirá me prejudicar."
The Defiant: Taylor Monahan da MetaMask explica um hack multichain de US$ 10 milhões
Em uma entrevista com The Defiant, a pesquisadora de segurança da MetaMask Taylor Monahan explicou o hack multichain que ela e seu colega Harry Denley começaram a investigar em abril de 2023 — uma ofensiva massiva direcionada a usuários antigos de cripto — junto com dicas para se manter seguro e uma discussão sobre "código é lei" e "blockchain é imutável". Os atacantes usaram um método incomum, trocando os ativos que estavam roubando dentro da carteira da vítima antes de enviá-los para uma exchange descentralizada (DEX). A forma como os atacantes violaram as contas de aproximadamente 300 indivíduos cujas Secret Recovery Phrases foram expostas permanece desconhecida, e presume-se que o ataque não foi realizado por métodos típicos de phishing. As recomendações de Monahan para maior segurança incluíram usar uma hardware wallet e descentralizar os ativos em múltiplas carteiras.
Um checklist de investigação de drenagem de carteiras por Jon_HQ
Se uma carteira for drenada, descobrir como o ataque aconteceu não exige ser um pesquisador de segurança. O usuário do Twitter Jon_HQ publicou um checklist detalhado no Twitter, compartilhado em 5 de maio de 2023, que percorre os passos a revisar ao investigar uma drenagem — vale salvar nos favoritos para referência.
FTC alerta que e-mails urgentes de empresas de cripto são golpes de phishing
Um alerta ao consumidor da Federal Trade Commission (FTC) alertou o público para ter cautela redobrada com mensagens que parecem vir de serviços relacionados a cripto. Com qualquer e-mail não solicitado, a FTC aconselhou a não agir rapidamente independentemente do que a mensagem diz — criar uma falsa sensação de urgência é uma tática padrão de golpe destinada a contornar o pensamento crítico — e recomendou não clicar em links de e-mails não solicitados e manter o software de segurança atualizado. E-mails de phishing de impostores da MetaMask podem ser reportados em https://support.metamask.io/chat.
Como reconhecer contas reais da MetaMask versus contas falsas
Golpistas frequentemente se passam por marcas confiáveis de cripto, criando sites, e-mails e perfis de redes sociais falsos para enganar usuários e fazê-los entregar o acesso às suas contas. Para ajudá-lo a se manter protegido, nossa base de conhecimento de suporte explica como reconhecer a MetaMask verdadeira e como garantir que você está usando o canal de suporte correto.
O Relatório de Segurança Cripto da MetaMask de maio de 2023 cobriu a investigação contínua de Taylor Monahan sobre um hack multichain de US$ 10 milhões direcionado a usuários antigos de cripto, um alerta da FTC sobre e-mails de phishing se passando por empresas de cripto, e a palestra "Eval all the Strings!" de Zbigniew Tenerowicz sobre Hardened JavaScript. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
