Cada mês, o Diretor de Segurança da MetaMask, Luker, relata os ataques cripto mais recentes e os riscos emergentes que você precisa conhecer.
Em setembro de 2022, o projeto Endo realizou uma grande refatoração do shim SES, apelidada internamente de "quadruple backflip", enquanto o LavaMoat lançou uma atualização de documentação e novos modos de uso do lavamoat-node. Em outros acontecimentos, um estudo da Consensys investigou por que usuários perdem fundos para phishing. Enquanto isso, uma campanha de personificação do CircleCI coletou credenciais do GitHub e retransmitiu códigos TOTP em tempo real para contornar a autenticação de dois fatores, e o próprio algoritmo do Twitter exibiu uma conta verificada fraudulenta enquanto a hashtag #EthereumMerge era tendência — parte de uma campanha que usou 36 contas verificadas comprometidas para se passar por Vitalik Buterin e pela Ethereum Foundation. A análise completa está abaixo, mas primeiro...
Destaque STEM: Kevin Mitnick, pioneiro em engenharia social e consultor de segurança
Kevin Mitnick (1963–2023) demonstrou que o vetor de ataque mais eficaz não é o código, mas a psicologia humana. Outrora um dos mais procurados pelo FBI por invadir dezenas de grandes corporações, Mitnick tornou-se posteriormente um consultor de segurança de confiança para empresas da Fortune 500 e governos, atuando como Chief Hacking Officer na empresa de treinamento em conscientização de segurança KnowBe4. Seu trabalho ao estabelecer a engenharia social como uma disciplina formal moldou diretamente a forma como o setor se defende contra as campanhas de phishing abordadas neste relatório.
Estudo da Consensys analisa por que titulares de carteiras cripto perdem fundos para phishing
A Consensys publicou um estudo analisando como e por que usuários perdem fundos para phishing. A pesquisa examinou 70 tickets de suporte ao cliente e realizou entrevistas com 7 usuários que perderam fundos, seguindo um roteiro padronizado de perguntas sobre o entendimento e a experiência deles com Frases de Recuperação Secreta e phishing. Uma descoberta importante: os usuários aplicam sinais de confiança da web2 — selos verificados, contagem de seguidores, imagens de perfil — para avaliar entidades web3, mas esses sinais não correspondem à confiabilidade real em um ambiente de carteira self-custodial onde as transações são irreversíveis.
Campanha de phishing do CircleCI tem como alvo usuários do GitHub e contorna a autenticação de dois fatores
Em 16 de setembro de 2022, o GitHub Security identificou uma campanha de phishing se passando pelo CircleCI para coletar credenciais de usuários e códigos de dois fatores. Os e-mails de phishing alegavam que as sessões do CircleCI dos usuários haviam expirado ou que eles precisavam aceitar termos de uso atualizados, direcionando-os a domínios falsos, incluindo circle-ci[.]com e emails-circleci[.]com. O site de phishing retransmitia os códigos TOTP ao atacante e ao GitHub em tempo real, contornando a autenticação de dois fatores baseada em tempo. Embora o próprio GitHub não tenha sido comprometido, a campanha afetou diversas organizações vítimas. O incidente evidencia que o 2FA baseado em TOTP é vulnerável a ataques de retransmissão em tempo real — chaves de segurança de hardware (FIDO2/WebAuthn) continuam sendo a defesa mais robusta.
Em 14 de setembro de 2022, enquanto a hashtag #EthereumMerge era tendência no Twitter às vésperas da transição de 15 de setembro de 2022, o algoritmo da plataforma exibiu uma conta fraudulenta promovida junto a conteúdos legítimos sobre o Merge. A campanha mais ampla envolveu pelo menos 36 contas verificadas do Twitter comprometidas usadas para se passar por Vitalik Buterin e pela Ethereum Foundation, promovendo esquemas falsos de "sorteio de 50.000 ETH" que direcionavam as vítimas a sites de phishing solicitando depósitos em ETH com a promessa de dobrar os retornos.
Refatoração do shim SES do Endo separa o tratamento de escopo com o "quadruple backflip"
O projeto Endo submeteu uma grande refatoração do avaliador do shim SES em uma pilha de escopo multicamadas, referida internamente como "quadruple backflip". A mudança resolve um problema em que o proxy de escopo poderia vazar e separa preocupações distintas no tratamento do escopo global em camadas discretas. Um benefício adicional: o LavaMoat poderá usar o shim SES sem alterações após a conclusão da refatoração, eliminando a necessidade de patches específicos do LavaMoat para o shim.
LavaMoat lança atualização de documentação e novos modos de uso do lavamoat-node
O projeto LavaMoat da MetaMask lançou uma atualização de documentação em toda a sua cadeia de ferramentas. Os novos recursos do lavamoat-node incluem um helper de conveniência para executar comandos do node_modules/.bin e uma API de uso programático, facilitando a integração das proteções de cadeia de suprimentos do LavaMoat nos pipelines de build existentes pelos desenvolvedores.
O Relatório de Segurança Cripto de setembro de 2022 da MetaMask abordou uma campanha de personificação do CircleCI que contornou a autenticação de dois fatores do GitHub via retransmissão de TOTP em tempo real, e o algoritmo do Twitter exibindo contas verificadas fraudulentas durante o evento de tendência do Ethereum Merge. Confira edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
