Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Em novembro de 2022, o LavaMoat lançou o Snow e o global scuttling em produção para todos os usuários, incluindo a MetaMask Extension, junto com uma versão do SES com quatro backflips, domínio taming no Node.js e uma mitigação inicial de bin confusion, enquanto o Endo prototipou um bundler de uso geral e a Equipe de Inteligência de Ameaças iniciou um banco de dados de incidentes DeFi baseado em STIX. No lado da comunidade, a MetaMask compartilhou a palestra de Kumavis na Devcon sobre segurança na cadeia de suprimentos JavaScript, Gal Weizman defendeu a integração do Snow na extensão, e um Twitter Space explorou como os Snaps podem fortalecer a autocustódia após o colapso da FTX. O mês foi encerrado com histórias de alerta: phishing via Google Ads e Google Sites, uma extensão maliciosa do Chrome distribuída por meio de atualizações falsas do Flash Player e golpes com bots de negociação no Telegram. A análise completa está abaixo, mas primeiro...
Destaque STEM: Daphne Oram, pioneira da música eletrônica e cofundadora do BBC Radiophonic Workshop
Daphne Oram (1925–2003) cofundou o BBC Radiophonic Workshop em 1958 e foi pioneira na técnica que chamou de Oramics, desenhando formas diretamente em filmes para sintetizar sons. Seu trabalho de tradução de padrões desenhados à mão em sinais precisos antecipou o tipo de raciocínio baseado em sinais e padrões que fundamenta a forma como softwares de carteira de autocustódia verificam dados. Oram dedicou sua carreira a defender que ferramentas altamente técnicas podiam ser expressivas e acessíveis a não especialistas.
LavaMoat lança Snow e global scuttling na MetaMask Extension
Novembro de 2022 marcou um lançamento significativo em produção para o LavaMoat. O Snow (segurança recursiva de iframe e realm) e o global scuttling (remoção de referências globais originais após captura baseada em políticas) foram disponibilizados para todos os usuários do LavaMoat, incluindo a MetaMask Extension. Uma versão do SES com "quatro backflips" e diversas atualizações poderosas foi introduzida no LavaMoat para o próximo lançamento, incluindo domain taming no Node.js — algo relevante porque alguns pacotes ainda utilizam o módulo de domínio do Node, há muito depreciado. A versão inicial da mitigação de ataques de bin confusion foi incorporada ao @lavamoat/allow-scripts, disponível por meio de uma flag na próxima versão. Uma nova CLI para configurar todas as ferramentas do LavaMoat em um repositório por meio de algumas perguntas guiadas também estava em desenvolvimento.
Endo prototipa um bundler de uso geral em seu compartment mapper
O projeto Endo experimentou usar o próprio Endo para alimentar um bundler, construindo um proof-of-concept de bundler de uso geral sobre seu compartment mapper. O trabalho gerou uma série de funcionalidades e melhorias na base de código do Endo, incluindo a correção de um bug no tratamento de reexportações nomeadas.
Equipe de inteligência de ameaças da MetaMask cria banco de dados de incidentes DeFi com STIX
A Equipe de Inteligência de Ameaças da MetaMask iniciou o desenvolvimento de um repositório de dados padronizado para incidentes no espaço de finanças descentralizadas (DeFi). Os registros utilizam a linguagem STIX (Structured Threat Information Expression), com o objetivo de servir como fonte confiável de informações para especialistas e entusiastas que acompanham incidentes de segurança no DeFi.
Cofundador da MetaMask, Kumavis, apresenta palestra sobre segurança na cadeia de suprimentos JavaScript na Devcon 2022
O Kumavis da MetaMask apresentou uma palestra na Devcon 2022 chamada The Attacker is Inside, sobre segurança na cadeia de suprimentos JavaScript. Ele explicou como funcionam os ataques à cadeia de suprimentos de software nos ecossistemas JavaScript e cripto — onde cada projeto é construído sobre código aberto compartilhado — e como o LavaMoat, ferramenta gratuita e de código aberto da MetaMask, protege usuários e suas carteiras.
Gal Weizman defende a integração do Snow na MetaMask Extension
O colaborador do LavaMoat, Gal Weizman, publicou "Integrating Snow into MetaMask", defendendo a implantação da tecnologia de segurança de navegador Snow diretamente na extensão de navegador MetaMask. O Snow impõe a propriedade recursiva de realm em todos os iframes, fechando a superfície de ataque onde realms de navegador recém-criados são usados para acessar referências de API não modificadas e contornar políticas aplicadas à janela de nível superior.
Após o colapso da FTX, um Twitter Space organizado pela MetaMask reuniu Christian Montoya (MetaMask), Zen Yong (Web3Auth) e Chirag Titiya (Biconomy) para discutir como a inovação sem permissão por meio dos MetaMask Snaps pode ajudar os usuários a assumir o controle de seus próprios fundos e proteger melhor suas Secret Recovery Phrases. Como Zen Yong afirmou, o evento da FTX "poderia ter tido menos impacto no cripto em geral se mais pessoas praticassem a autocustódia." Montoya destacou que o objetivo é permitir que desenvolvedores criem novas opções de gerenciamento de contas na MetaMask — oferecendo aos novos usuários escolhas mais fáceis e seguras que reduzem o risco de perder uma chave ou ter uma conta comprometida.
Google Ads e Google Sites usados para hospedar páginas de phishing de carteiras cripto
Campanhas de phishing continuaram a abusar da infraestrutura do Google para atacar usuários de carteiras cripto. The Verge documentou anteriormente como golpistas usam o Google Ads para enganar pessoas e roubar seus criptoativos, e os usuários também devem ficar atentos a URLs que começam com "sites.google." Conforme relatado pelo Mashable, golpistas também encontraram sucesso criando sites de phishing no Google Sites, copiando o design de sites confiáveis para induzir pessoas a inserir informações sensíveis.
Extensão maliciosa do Chrome se espalha por meio de atualizações falsas do Adobe Flash Player
O BleepingComputer relatou sobre uma extensão maliciosa do Chrome que concede aos invasores controle remoto do navegador. A extensão não está disponível na Chrome Web Store oficial e é distribuída por canais alternativos, como sites que promovem atualizações falsas do Adobe Flash Player. A lição para os usuários: evite instalar extensões de navegador ou "atualizações" de fontes não oficiais.
Golpes com bots de negociação no Telegram colocam chaves de carteiras em risco
Em novembro de 2022, alertas circularam nas redes sociais sobre atividades maliciosas no Telegram e em bots de negociação. O usuário do Twitter Big D sinalizou um Trojan que se espalhava pelo Telegram e podia ser baixado no celular por meio de uma configuração automática fácil de ignorar, enquanto outra análise examinou como as Chaves Privadas dos usuários podem ser expostas dentro de bots de negociação. O uso de bots de negociação está crescendo, mas conceder a eles acesso à carteira pode colocar os fundos em risco.
O Relatório de Segurança Cripto de novembro de 2022 da MetaMask cobriu o lançamento em produção do Snow e do global scuttling do LavaMoat para a MetaMask Extension, um Twitter Space sobre como os MetaMask Snaps podem fortalecer a autocustódia após o colapso da FTX, e histórias de alerta envolvendo phishing via Google Ads e Google Sites, uma extensão maliciosa do Chrome e golpes com bots de negociação no Telegram. Confira edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
