Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em maio de 2024, a MetaMask lançou as Smart Transactions — oferecendo uma taxa de sucesso de transações de 99,9%, proteção contra MEV, pré-simulação e melhores configurações de taxas de rede. Também compartilhamos um novo guia do usuário para proteger sua Frase de Recuperação Secreta e uma discussão sobre segurança do Snaps com a HAPI. O mês também marcou o encerramento do Pink Drainer, que havia drenado dezenas de milhões de cerca de 20.000 vítimas. Em outro cenário, a campanha "Contagious Interview" do Grupo Lazarus teve como alvo desenvolvedores blockchain com falsas ofertas de emprego. E os ataques de envenenamento de endereço continuaram crescendo, com uma vítima perdendo US$ 68 milhões. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Jerry Lawson, pai do cartucho de videogame
Gerald "Jerry" Lawson (1940–2011) foi um engenheiro eletrônico americano que liderou a equipe por trás do Fairchild Channel F, o primeiro console de videogame doméstico a usar cartuchos ROM intercambiáveis — o que lhe rendeu o título de "pai do cartucho de videogame." Um dos poucos engenheiros negros no início do Vale do Silício, Lawson criou um sistema modular que permitia aos usuários trocar com segurança por novas funcionalidades, uma filosofia de design que ecoa na forma como o software moderno é estendido e isolado hoje.
Apresentando as Smart Transactions para uma taxa de sucesso mais alta e proteção contra MEV
As ineficiências nas transações não são estritamente uma questão de segurança — elas também podem custar dinheiro aos usuários. Neste mês, a MetaMask apresentou as Smart Transactions, que podem oferecer uma taxa de sucesso de transações de 99,9%, proteção contra valor máximo extraível (MEV), simulação pré-transação e melhores configurações de taxas de rede. Como explicou o Diretor Executivo de Produto Gal Eldar, as carteiras estão "em uma posição única e, de muitas formas, são responsáveis por enfrentar diretamente esses pontos de dor dos usuários". As Smart Transactions refletem o compromisso da MetaMask em tornar o envio de transações mais seguro, fácil, eficiente e confiável para todos.
Um guia do usuário sobre a Frase de Recuperação Secreta, senha e Chaves Privadas
Como parte de sua educação contínua aos usuários, a MetaMask publicou um artigo de suporte sobre a Frase de Recuperação Secreta, senha e Chaves Privadas, com o objetivo de ajudar os iniciantes a evitar erros comuns e custosos. É um bom recurso para compartilhar com qualquer pessoa que esteja começando no mundo cripto, junto com o restante do material disponível em support.metamask.io.
MetaMask Snaps, segurança e due diligence
Os MetaMask Snaps são complementos personalizáveis, verificados e de terceiros que ampliam a funcionalidade da carteira. Nosso próprio Christian Montoya co-apresentou um X Space com a HAPI sobre como os Snaps permitem inovações que tornam os usuários mais seguros. Como ele explicou, a segurança é multifacetada, com muitas etapas na jornada web3 de um usuário em que diferentes proteções são necessárias: uma carteira de hardware é valiosa, mas "você ainda pode ser drenado de uma carteira de hardware se interagir com um aplicativo descentralizado malicioso. Por isso, a MetaMask está focada em trazer provedores de segurança em diversas áreas." A implementação dos Snaps focados em segurança continua.
Revisitando o "hack misterioso" de US$ 10 milhões que tomou conta do mundo cripto
Taylor Monahan, da MetaMask, está investigando um hack misterioso que tomou o controle de carteiras cripto e drenou aproximadamente US$ 10 milhões em ether de usuários de longa data. Em entrevista ao The Defiant, ela compartilhou detalhes sobre quando o hack começou e as últimas novidades do caso, observando que, embora sua opinião sobre a causa raiz tenha evoluído com investigações adicionais, os fatos não mudaram: o incidente é mais um ataque ligado à infame violação do LastPass, sobre a qual relatamos em meses anteriores. Acredita-se que o hacker faça parte de um grupo organizado e tenha comprometido as frases-semente de pelo menos 300 vítimas, todas provavelmente armazenadas via LastPass. Lembre-se: sua Frase de Recuperação Secreta deve ser armazenada offline e em um local seguro ao qual somente você tenha acesso. Ela também vinculou a análise relacionada do Krebs on Security de setembro de 2023.
Pink Drainer encerra atividades após drenar mais de US$ 75 milhões
O Pink Drainer, um notório drainer de carteiras cripto, anunciou seu encerramento após acumular mais de US$ 75 milhões explorando cerca de 20.000 vítimas por meio de phishing sofisticado, declarando: "Alcançamos nosso objetivo e agora, conforme planejado, é hora de nos aposentarmos." (O Scam Sniffer, citando ZachXBT, estimou o total em mais de US$ 75 milhões de aproximadamente 20.000 vítimas em apenas um ano.) Como o próprio Pink Drainer reconheceu, sua retirada provavelmente não terá grande impacto, já que "as pessoas vão migrar para outros drainers tão rapidamente quanto migraram para nós." Os golpistas de repente desenvolveram consciência? Ou há algo mais em jogo? Nosso sexto sentido aponta para a segunda opção… E, com muitos outros drainers ainda ativos, o conselho permanece o mesmo: mantenha fundos substanciais em uma carteira de hardware, guarde o mínimo de ativos em carteiras do dia a dia e use contas diferentes para diferentes níveis de risco.
A campanha "Contagious Interview" do Grupo Lazarus tem como alvo desenvolvedores blockchain
O que aconteceu
O Grupo Lazarus, uma ameaça persistente avançada (APT) ativa desde 2007 e notória pelo ataque à Sony Pictures em 2014, tem cada vez mais como alvo instituições financeiras e plataformas de moeda virtual. Pesquisadores de segurança descobriram uma série de ataques usando arquivos ZIP com JavaScript malicioso direcionados a desenvolvedores blockchain por meio de ofertas de emprego em plataformas como LinkedIn, Upwork e Braintrust. Consistente com a campanha "Contagious Interview" do Lazarus, os ataques induzem candidatos a executar código malicioso que rouba informações relacionadas a cripto e instala malware.
Como os usuários podem se proteger
Para se proteger contra ataques de phishing e malware como os executados por grupos como o Lazarus, é fundamental verificar a legitimidade de ofertas de emprego inesperadas por meio de pesquisas independentes e manter uma higiene digital robusta. Isso inclui usar softwares antivírus e antimalware atualizados, habilitar a autenticação multifator (MFA) para uma camada adicional de segurança e ter cautela com anexos de e-mail e links de fontes desconhecidas. Além disso, manter todos os softwares atualizados é essencial para se proteger contra vulnerabilidades exploráveis. Ao adotar essas práticas, os indivíduos podem fortalecer significativamente suas defesas contra ameaças cibernéticas sofisticadas e proteger suas informações sensíveis.
Ataques de envenenamento de endereço aumentam, com uma vítima perdendo US$ 68 milhões
O que aconteceu
O envenenamento de endereço é uma tática enganosa em que os atacantes manipulam o histórico de transações de uma vítima para induzi-la a enviar fundos para o endereço errado — e uma vítima recente perdeu US$ 68 milhões com isso. Essa tática de golpe envolve a criação de tokens falsos, o uso de endereços "personalizados" que se assemelham muito ao da vítima e a exploração da função "transferFrom()" do padrão de token ERC-20. Os atacantes empregam essas estratégias para realizar transferências de tokens de valor zero e transferências de tokens falsificadas, fazendo com que seus endereços fraudulentos pareçam legítimos. Esses ataques são projetados para confundir os usuários e fazê-los copiar o endereço errado em suas transações, resultando em perdas financeiras. A sofisticação desses métodos evidencia a natureza em constante evolução das ameaças cibernéticas no espaço blockchain.
Como os usuários podem se proteger
Para se proteger contra o envenenamento de endereço, os usuários devem evitar copiar endereços diretamente do histórico de transações e, em vez disso, copiá-los de uma fonte confiável. Implementar nomes de domínio para endereços pode aumentar a distinguibilidade, embora os usuários devam ter cuidado com a falsificação de nomes de domínio. Utilizar o recurso de agenda de endereços fornecido pelos serviços de carteira ou adicionar uma tag de nome privada em plataformas como o Etherscan para colocar endereços confiáveis na lista de permissões pode ajudar os usuários a identificar e evitar facilmente endereços falsificados.
O Relatório de Segurança Cripto de maio de 2024 da MetaMask cobriu o lançamento das Smart Transactions da MetaMask, o encerramento do Pink Drainer após drenar dezenas de milhões de cerca de 20.000 vítimas e um aumento nos ataques de envenenamento de endereço que custaram US$ 68 milhões a uma vítima. Confira as edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
