Cada mês, o Diretor de Segurança da MetaMask, Luker, reporta os mais recentes ataques cripto e riscos emergentes que você precisa conhecer.
Em setembro de 2023, a MetaMask lançou o beta aberto dos Snaps — trazendo segurança personalizável e sem permissão para a carteira. Também compartilhamos conteúdo educativo sobre autocustódia criado em parceria com a Ledger e realizamos um Space sobre o Estado da Segurança com a Wallet Guard. No lado das ferramentas, o LavaMoat acelerou seus lançamentos, adicionou suporte ao Node 20 e preparou o ScorchWrap para o beta. Além disso, Gal Weizman e Zbigniew Tenerowicz, da MetaMask, apresentaram sobre JavaScript reforçado e realms de navegador no evento "Secure the Web Forward" do W3C. No campo das ameaças, Taylor Monahan vinculou aproximadamente US$ 35 milhões em roubos a Secret Recovery Phrases armazenadas no LastPass, e detalhamos como o ataque de SIM-swap do grupo Pink Drainer comprometeu a conta de Vitalik Buterin. A análise completa está abaixo, mas primeiro...
Pioneira STEM em destaque: Luis von Ahn, co-inventor do CAPTCHA
Luis von Ahn é um cientista da computação guatemalteco que co-inventou o CAPTCHA e o reCAPTCHA — os testes de desafio-resposta que distinguem humanos de bots e ajudam a proteger serviços web de abusos automatizados — e foi pioneiro no conceito de computação humana. Posteriormente, co-fundou o Duolingo. Seu trabalho ocupa uma camada fundamental da segurança cotidiana na web: provar, de forma barata e em escala, que há uma pessoa real do outro lado.
MetaMask lança o beta aberto dos Snaps, com Snaps de segurança no diretório
A MetaMask lançou o beta aberto dos Snaps em 12 de setembro de 2023, expandindo as opções de segurança personalizáveis dentro da carteira com base nas preferências e necessidades dos usuários. Snaps são recursos e funcionalidades desenvolvidos por terceiros que os usuários podem instalar diretamente em sua carteira (metamask.com/snaps). Este beta aberto é voltado para usuários avançados e early adopters como ponto de partida. Vários Snaps focados em segurança já estão disponíveis no Snaps Directory auditado. Cada Snap no diretório oficial é revisado e verificado pela equipe da MetaMask e por auditores externos. Em um thread complementar, Christian Montoya, da MetaMask Snaps, compartilhou dicas básicas para otimizar a segurança da MetaMask e destacou Snaps no beta que podem ajudar a proteger os usuários de transações arriscadas.
MetaMask e Ledger publicam uma lição de segurança sobre autocustódia
A MetaMask, em colaboração com a Ledger, publicou uma lição de segurança em web3 abordando a responsabilidade que acompanha a autocustódia, como evitar vetores de ataque comuns e a importância de usar uma hardware wallet. Para promover a lição, o pesquisador sênior de segurança da MetaMask, Miles Nolan, se juntou a colegas da MetaMask e da Ledger para co-apresentar um X Space ao vivo em 20 de setembro de 2023.
MetaMask e Wallet Guard realizam um Space sobre o Estado da Segurança do T3
A MetaMask e a Wallet Guard realizaram um X Space conjunto sobre o estado da segurança. Ohm, Martin e Michael, da Wallet Guard, foram acompanhados por Marco Menozzi (Segurança da MetaMask) e Christian Montoya (MetaMask Snaps) para discutir segurança de dispositivos, engenharia social, vazamentos de dados, SIM swapping, anúncios fraudulentos e MetaMask Snaps. A Wallet Guard também compartilhou um resumo escrito da gravação.
Semifinais da Ambassador World Cup da HackerOne com bug-hunt na MetaMask, Shopify e Tinder
A HackerOne deu início às semifinais de sua Ambassador World Cup em 27 de setembro de 2023, com 4 equipes realizando bug-hunt para parceiros incluindo MetaMask, Shopify e Tinder, enquanto trabalham para proteger seus produtos e clientes.
Uma allowlist de calldata visa reduzir perdas por sequestro de DNS
Nos últimos 3 anos, mais de US$ 125 milhões foram extraídos por meio de sequestro de DNS e injeção de conteúdo malicioso. A MetaMask está adotando uma solução criada pela equipe do Yearn: uma allowlist de calldata em blockchain que impede que agentes maliciosos prejudiquem os usuários em caso de sequestro de DNS. A equipe de relações com desenvolvedores da MetaMask está entrando em contato com terceiros cuja participação será fundamental para a iniciativa; mais detalhes estão em um documento público que contém links para o repositório de prova de conceito, além de um vídeo explicativo curto com Miles Nolan.
Atualização do LavaMoat: lançamentos mais rápidos, suporte ao Node 20, beta do ScorchWrap e lockdown mobile
Melhorias no processo de lançamento tornaram os releases mais simples, de modo que uma cadência maior de lançamentos é agora a norma. Uma mudança na estrutura dos testes fez com que passassem no Node 20, que agora é oficialmente suportado. O plugin ScorchWrap está pronto para o beta e será anunciado em dois eventos remotos para desenvolvedores, com o programa beta sendo executado nas discussões do LavaMoat. O Lockdown no MetaMask Mobile já está funcionando e deve ser lançado em breve.
Gal Weizman e Zbigniew Tenerowicz apresentam no "Secure the Web Forward" do W3C
No evento "Secure the Web Forward" do W3C, Zbigniew Tenerowicz apresentou sobre a aplicação de JavaScript reforçado à segurança da cadeia de suprimentos para uma defesa proativa, e Gal Weizman apresentou sobre como realms de JavaScript são usados para contornar ferramentas de segurança existentes em aplicações web. Em um artigo relacionado sobre a "preocupação com a mesma origem", Weizman — que mantém o projeto Snow JS — descreve a falta de controle que os aplicativos têm sobre novos realms que surgem sob sua própria origem, por que os esforços atuais para resolver isso são insuficientes e como uma solução nativa do navegador poderia oferecer uma correção segura e eficiente; o artigo foi apresentado ao grupo de trabalho de segurança do W3C neste mês.
Secret Recovery Phrases armazenadas no LastPass vinculadas a ~US$ 35 milhões em fundos roubados
Uma série de roubos de alto valor, totalizando aproximadamente US$ 35 milhões em fundos roubados, pode estar vinculada a uma violação divulgada pelo LastPass quase um ano antes. Taylor Monahan, da MetaMask, vem seguindo as pistas desde dezembro de 2022, observando que as vítimas "são todas genuinamente seguras" e "profundamente integradas a este ecossistema" — incluindo funcionários de organizações cripto respeitáveis, capitalistas de risco e pessoas que construíram protocolos DeFi, implantam contratos e operam nós completos. O principal fio condutor que ela encontrou é que as vítimas haviam usado o LastPass para armazenar suas Secret Recovery Phrases em algum momento, e seu conselho foi direto: não mantenha todos os seus ativos sob uma única chave ou frase por anos — divida os ativos, adquira uma hardware wallet e migre agora. O Krebs on Security tem mais detalhes.
ERC-7512 propõe um padrão onchain para auditorias de contratos inteligentes
Uma proposta para o ERC-7512 visa representar auditorias de contratos inteligentes onchain. Ao permitir que usuários e aplicativos verifiquem auditorias realizadas por auditores respeitáveis, o padrão estabeleceria um sistema de reputação onchain para auditores e ajudaria a construir um ambiente mais confiável para o uso de contratos inteligentes.
"Gone Phishing" da Rekt e o ataque do Pink Drainer a Vitalik Buterin
O "Gone Phishing" da Rekt reúne uma série de golpes que abrangem front-ends comprometidos, pig butchering, um erro onchain de oito dígitos e contas hackeadas pertencentes a figuras públicas e até agências governamentais — incluindo o ataque de SIM-swap drainer de alto perfil contra Vitalik Buterin. Para saber mais sobre o grupo por trás disso, a Boring Security documentou os métodos do Pink Drainer após a conta de Buterin ser comprometida em 10 de setembro de 2023.
O Relatório de Segurança Cripto da MetaMask de setembro de 2023 cobriu o lançamento do beta aberto do MetaMask Snaps, aproximadamente US$ 35 milhões em roubos que Taylor Monahan vinculou a Secret Recovery Phrases armazenadas no LastPass, e o ataque de SIM-swap do Pink Drainer que comprometeu a conta de Vitalik Buterin. Navegue pelas edições anteriores do Relatório de Segurança Cripto da MetaMask para mais ameaças, tendências e dicas para se manter seguro em todo o ecossistema.
