Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В августе 2023 года эксперты по безопасности из MetaMask, Paradigm, Yearn и Polygon запустили Seal 911 — экспериментальную горячую линию в Telegram для крипточрезвычайных ситуаций, а MetaMask выступил на Defcon, Ethereum Argentina, и Гал Вейцман задал более смелый курс на безопасность в Snow. За кулисами LavaMoat автоматизировал релизы и продвинул плагин ScorchWrap и SES lockdown для мобильных устройств. Помимо этого, мы сообщили об очередной реальной атаке на цепочку поставок: опечаточный npm-пакет Ethereum похищал приватные ключи — именно такой тип угроз и призван нейтрализовать LavaMoat. Подробный разбор — ниже, но сначала...
Выдающийся пионер STEM: Эмиль Бодо, изобретатель кода Бодо
Эмиль Бодо (1845–1903) — французский инженер-телеграфист, изобретатель кода Бодо: раннего символьного кодирования с фиксированной длиной, ставшего одним из первых практических средств цифровой коммуникации и предшественником ASCII. Единица измерения «бод» названа в его честь. Его работа по стандартизации кодирования и передачи информации лежит в основе безопасного и надёжного обмена данными, на котором сегодня держится вся экосистема.
Эксперты по безопасности запускают Seal 911 — горячую линию в Telegram для крипточрезвычайных ситуаций
Эксперты по безопасности из MetaMask совместно со специалистами из Paradigm, Yearn и Polygon объединились, чтобы создать экспериментальную горячую линию на базе Telegram-бота для пользователей, столкнувшихся с крипточрезвычайными ситуациями. В проекте, получившем название Seal 911, приняли участие Тейлор Монахан и Гарри Денли из MetaMask. Как объяснил samczsun 8 августа 2023 года, группа поставила перед собой задачу решить самую сложную часть ответственного раскрытия уязвимостей — найти нужного человека для связи. Результатом стал бот Seal 911, которым любой желающий может воспользоваться в экстренной ситуации, чтобы выйти на доверенных членов сообщества безопасности и их обширную сеть контактов.
Гал Вейцман: Snow ставит безопасность выше распространения и функциональности
В последнем обновлении по LavaMoat Snow Гал Вейцман из MetaMask обозначил более смелый курс: «Сегодня знаменательный день в жизни Snow: мы приходим к зрелому осознанию того, что для прекращения погони за оборонительной безопасностью проекту необходимо сделать несколько смелых шагов — даже ценой распространения и функционального поведения». Иными словами, Snow будет отдавать приоритет более надёжным гарантиям безопасности даже там, где это снижает удобство или совместимость.
Збигнев Тенерович и Kumavis проводят воркшоп по защитному программированию на AppSec Village в Defcon
На AppSec Village в Defcon в августе 2023 года в Лас-Вегасе Збигнев Тенерович (ZB) и Kumavis из MetaMask провели воркшоп по защитному программированию, посвящённый усиленному JavaScript и рискам цепочки поставок программного обеспечения. Записи нет, однако доступны учебные материалы и слайды.
«Слышали о цепочке поставок программного обеспечения? Да, это та самая история, где выясняется, что вы всё-таки несёте ответственность за то, что ваше приложение берёт из папки
Антонела Дебиаси ставит под сомнение доверие к технологическим посредникам на Ethereum Argentina
Специалист по безопасному проектированию Антонела Дебиаси вышла на главную сцену Ethereum Argentina, чтобы рассмотреть модель доверия в криптовалютных сетях, проведя разграничение между индикаторами доверия и индикаторами корпоративной безопасности.
LavaMoat и Endo продвигают автоматизацию релизов, ScorchWrap и SES lockdown для мобильных устройств
Монорепозиторий LavaMoat переходит на npm workspaces и release-please для управления релизами, что сделает выпуск обновлений LavaMoat автоматизированным и значительно более быстрым. Webpack-плагин ScorchWrap теперь поддерживает несколько точек входа и чанков, а применение политики к зависимостям модулей реализовано; оставшаяся работа для первой бета-версии — применение политики к глобальным переменным. Тем временем SES lockdown разделяется на два этапа, чтобы «проверенные шимы» (Vetted Shims) можно было применять к встроенным объектам после исправления, но до заморозки — это изменение должно улучшить совместимость и устранить одно из последних препятствий для запуска MetaMask Mobile с lockdown. На мобильных устройствах SES продолжает выполнять lockdown до сборки бандла и разрешает reflect-metadata как доверенный шим, поскольку тот является прямой зависимостью @consensys/on-ramp-sdk, используемого в качестве компонента высшего порядка, обёрнутого вокруг экрана настроек.
Опечаточный npm-пакет Ethereum похищает приватные ключи — именно такие атаки и нацелен нейтрализовать LavaMoat
Phylum сообщил в начале августа 2023 года, что получил уведомление о серии подозрительных публикаций в npm, включая опечаточный пакет (typosquat) популярной криптовалютной библиотеки и зависимость, скрывавшую вредоносный код глубоко в большом файле, который большинство разработчиков никогда бы не стали тщательно изучать. Пакет передавал приватные ключи на удалённый сервер — именно такой тип атак на цепочку поставок программного обеспечения и призван нейтрализовать LavaMoat.
Отчёт MetaMask о криптобезопасности за август 2023 года охватывает запуск Seal 911 — межорганизационной горячей линии в Telegram для крипточрезвычайных ситуаций, смелый новый курс Snow на приоритет безопасности, а также опечаточный npm-пакет Ethereum, похищавший приватные ключи. Просматривайте предыдущие выпуски Отчёта MetaMask о криптобезопасности, чтобы быть в курсе угроз, тенденций и советов по безопасности в экосистеме.
