Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В апреле 2024 года ZachXBT, Тейлор Монахан из MetaMask и другие исследователи опубликовали результаты расследования об отмывании 200 миллионов долларов группировкой Lazarus из Северной Кореи. Кроме того, Security Lab MetaMask представила предложение Snow.js в W3C, обновила генерацию политик LavaMoat для ES-модулей, а Гал Вайцман подробно описал новый инструмент LavaDome для безопасного отображения конфиденциальных данных. Тем временем Security Alliance запустила бесплатный криптонативный ISAC. Подробный разбор — ниже, но сначала...
Выдающийся пионер STEM: Фазлур Рахман Хан, инженер-конструктор и отец трубчатых конструкций
Фазлур Рахман Хан (1929–1982) — бангладешско-американский инженер-конструктор и архитектор, один из первых пионеров автоматизированного проектирования, которого часто называют «отцом трубчатых конструкций» для высотных зданий. Разработанные им конструктивные системы открыли путь к новому поколению эффективных небоскрёбов — в том числе башне Уиллис (Сирс) и Центру Джона Хэнкока. Проектирование сооружений, способных выдерживать колоссальные нагрузки, — это, по сути, та же задача, которую решает инженерия безопасности: создать нечто, что устоит под давлением со всех сторон.
Обновления LavaMoat и Snow: предложение в W3C, генерация политик ESM и блокировка на iOS
Security Lab MetaMask представила предложение в W3C для инкубации, вводя базовую функциональность, которая позволит команде поставлять Snow.js на стороне пользователя, а не через LavaMoat. Встраивание непосредственно в браузер сделает обход практически невозможным и является ключевым шагом в решении проблемы «одинакового происхождения» (same origin concern). Команда также обновила генерацию политик для поддержки ECMAScript Modules (ESM) — с учётом синтаксиса import и export помимо традиционной системы require — как для плагина webpack, так и для нового инструмента на основе Endo; поддержка target: 'node' со встроенными модулями появится в плагине LavaMoat для webpack в следующем релизе. Lockdown теперь постоянно включён в MetaMask Mobile для iOS, а команда улучшает документацию и обучающие видео, чтобы упростить onboarding в LavaMoat для всей экосистемы.
Как LavaDome проактивно защищает от взломов кода веб-приложений
По мере того как доверие к коду внутри веб-приложений снижается, традиционные средства защиты — такие как политика одинакового происхождения (Same Origin Policy) — всё хуже справляются с внутренними угрозами. MetaMask решает эту проблему с помощью LavaDome — экспериментального инструмента для безопасного отображения конфиденциальной информации в DOM без риска её кражи вредоносным кодом через XSS или атаки на цепочку поставок. По словам Гала Вайцмана, LavaDome позволяет безопасно отображать в DOM конфиденциальные значения — PIN-код, секретную фразу восстановления, приватный ключ или другие персональные данные — практически без усилий при интеграции.
Фиктивная угроза судебным иском раскрывает фишинговую сеть Privnote
Киберпреступник, управлявший поддельными версиями сервиса самоуничтожающихся сообщений Privnote, невольно раскрыл масштаб своей операции, угрожая подать в суд на MetaMask. Всё началось с того, что пользователь GitHub пожаловался на то, что его сайт privnote.co был ошибочно добавлен в список фишинговых блокировок MetaMask, и пригрозил судебным иском. Когда его попросили предъявить реальный иск, он растерялся и начал называть другие подконтрольные ему домены — privnode.com, privnate.com и prevnóte.com, — тем самым раскрыв целую сеть.
Тейлор Монахан обратила внимание на эту оплошность, а Брайан Кребс подробно описал, как эти сайты копируют внешний вид и функциональность настоящего Privnote с одним принципиальным отличием. Любое сообщение, содержащее адрес криптовалюты, автоматически подменяется: реальный адрес для оплаты заменяется адресом мошенников, а поскольку заметка самоуничтожается, подмену легко не заметить. Схема весьма прибыльная: только через один из этих фишинговых сайтов четыре мошеннических адреса переместили почти 18 000 долларов в криптовалюте за пять дней в марте.
ZachXBT отслеживает, как Lazarus Group отмыла 200 миллионов долларов
ZachXBT при содействии Тейлор Монахан из MetaMask Security и других исследователей проследил транзакционный след через миксеры и централизованные биржи, задокументировав, как Lazarus Group отмыла 200 миллионов долларов в результате более чем 25 криптовзломов, конвертировав их в фиат в период с 2020 по 2023 год.
В период с 2020 по 2023 год печально известная группировка Lazarus, предположительно связанная с Северной Кореей, отмыла около 200 миллионов долларов. ZachXBT совместно с Тейлор Монахан из MetaMask Security и другими исследователями опубликовал расследование транзакционного следа Lazarus — через миксеры и централизованные биржи — для отслеживания более 25 взломов, приписываемых группировке.
Security Alliance (SEAL) запускает бесплатный криптонативный ISAC
Security Alliance запустила бесплатный Центр обмена информацией и анализа (ISAC), созданный для криптовалют с открытым исходным кодом и поддерживающий как централизованные, так и децентрализованные структуры. Инициатива SEAL 911, которая, по словам samczsun, помогла вернуть более 50 миллионов долларов с момента запуска в предыдущем году, пригласила заинтересованные стороны подать заявки — в том числе биржи и торговые платформы, блокчейн-проекты, провайдеров кошельков и хранилищ, майнинговые пулы и провайдеров инфраструктуры, специализирующиеся на блокчейне компании и исследователей в области кибербезопасности, а также экспертов по регулированию и комплаенсу.
Бернхард Мюллер анализирует сервис Angel Drainer
Бернхард Мюллер опубликовал подробный анализ Angel Drainer — одного из наиболее известных действующих drainer-сервисов. Несмотря на то что сервис рекламирует способ обхода обнаружения Blockaid, функция Blockaid, включённая по умолчанию в MetaMask, по-прежнему помечает транзакцию как мошенническую, предотвращая полноценную атаку.
Пользователи LastPass стали жертвами фишинга CryptoChameleon, обходящего MFA
Пользователи LastPass подверглись изощрённой фишинговой атаке, в которой использовались электронная почта, SMS и голосовые звонки для кражи мастер-паролей. Злоумышленники применяли CryptoChameleon — фишинговый набор как услуга (phishing-as-a-service), ориентированный на криптовалютные аккаунты и способный обходить многофакторную аутентификацию (MFA). Пользователей убеждали в том, что к их аккаунту LastPass был получен доступ с нового устройства, и направляли на фишинговый сайт для перехвата учётных данных. LastPass предприняла меры против этой кампании, которая является частью серии атак на менеджер паролей, включая серьёзную утечку данных, раскрытую годом ранее. Защита проста: проверяйте любые сообщения, якобы исходящие от поставщика услуг, связываясь с ним через официальный сайт или линию поддержки, а не отвечая напрямую, и с осторожностью относитесь к нежелательным срочным запросам на передачу информации, переход по ссылкам или загрузку вложений.
Google подаёт в суд на двух разработчиков за 87 мошеннических криптоприложений
Google подала иск против разработчиков Юньфэн Суня и Хоннама Чёна за распространение 87 мошеннических криптовалютных приложений в Google Play Store, затронувших более 100 000 пользователей — 8 700 из них в США. В иске, поданном в Южном округе Нью-Йорка, описывается, как приложения заманивали пользователей обещаниями криптоинвестиций, а затем удерживали их с помощью комиссий за вывод якобы полученной прибыли, маскируясь под легитимные торговые платформы и уклоняясь от удаления путём многократной смены идентификаторов и сетевой инфраструктуры. Схема в стиле «разделки свиньи» (pig butchering) напоминает о необходимости изучать и проверять легитимность приложений — тщательно анализируя отзывы и обратную связь в социальных сетях, — а также помнить, что предложения, которые кажутся слишком хорошими, чтобы быть правдой, как правило, таковыми и являются.
Криптодрейнеры развёрнуты примерно на 2000 сайтов WordPress
Почти 2 000 сайтов WordPress были взломаны для показа поддельных всплывающих окон с NFT и скидками, которые побуждали посетителей подключать кошельки к криптодрейнерам. Кампания изначально распространяла drainer-скрипты через рекламу и YouTube, затем переключилась на брутфорс паролей администраторов, а теперь отображает мошеннические предложения NFT, обманом вынуждая пользователей подключать кошельки к вредоносным скриптам, загружаемым с dynamic-linx[.]com. Пользователям следует подключать кошельки только к проверенным платформам, хранить значительные средства в аппаратном кошельке, держать минимальные активы в повседневных кошельках и использовать разные аккаунты для разных уровней риска.
Отчёт MetaMask о криптобезопасности за апрель 2024 года охватывал расследование ZachXBT об отмывании 200 миллионов долларов группировкой Lazarus, запуск бесплатного криптонативного ISAC от Security Alliance, а также фишинговую кампанию CryptoChameleon, нацеленную на пользователей LastPass с обходом многофакторной аутентификации. Просматривайте предыдущие выпуски Отчёта MetaMask о криптобезопасности для получения информации об угрозах, тенденциях и советах по безопасности в экосистеме.
