Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В январе 2023 года LavaMoat от MetaMask расширил свой арсенал инструментов безопасности: был представлен LavaTube для рекурсивного анализа графов объектов, добавлен VR-проводник зависимостей, глобальное «заглушение» (global scuttling) перенесено в ветку разработки расширения MetaMask Extension, а Snow получил поддержку кросс-браузерной работы. Тем временем Endo вышел на финальный этап проверки поддержки политик в стиле LavaMoat. Среди угроз: атаки с отравлением адресов (address poisoning) набирали обороты, засоряя историю транзакций жертв похожими адресами; исследователи безопасности обратили внимание на read-only reentrancy как на новый вектор атак в DeFi; также поступали предупреждения о троянах удалённого доступа, скрытых в поддельных игровых загрузках, и об уязвимости Chrome, которую эксплуатировали через фейковые сайты криптокошельков. Подробный разбор — ниже, но сначала...
Выдающийся деятель STEM: Джоан Кларк — взломщик кодов из Блетчли-парка и практик метода Banburismus
Джоан Кларк (1917–1996) была единственной женщиной, применявшей метод Banburismus — последовательный байесовский криптоаналитический процесс, разработанный Аланом Тьюрингом для снижения нагрузки на машины дешифровки Enigma в Блетчли-парке в годы Второй мировой войны. Способность Кларк обнаруживать тонкие статистические закономерности в, казалось бы, случайных данных перекликается с задачей, стоящей перед пользователями некастодиальных кошельков: им необходимо отличать легитимные адреса от почти идентичных подделок при атаках с отравлением адресов. В 1946 году Кларк была удостоена ордена Британской империи (MBE) за вклад в военную разведку.
Мошенничество с отравлением адресов использует похожие адреса кошельков для обмана пользователей
Отравление адресов набирало популярность как мошенническая техника в начале 2023 года. Злоумышленники генерируют адреса кошельков, совпадающие по первым и последним нескольким символам с легитимными адресами из контактов жертвы, а затем отправляют ей переводы с нулевой или минимальной суммой токенов. Эти транзакции появляются в истории операций жертвы, и когда та впоследствии копирует адрес из этой истории — ориентируясь на совпадение первых и последних символов, а не проверяя строку целиком — она неосознанно отправляет средства злоумышленнику. Мошенничество эксплуатирует практическую невозможность запомнить полный 42-символьный шестнадцатеричный адрес и распространённую привычку проверять только начало и конец адреса.
Примечание редактора: Функция обнаружения отравления адресов MetaMask теперь доступна всем пользователям.
Read-only reentrancy становится вектором атак в DeFi, нацеленным на ценовые оракулы
Read-only reentrancy — разновидность классической атаки повторного входа (reentrancy) — привлекла повышенное внимание разработчиков на Solidity в январе 2023 года. В отличие от традиционного reentrancy, направленного против функций, изменяющих состояние, read-only reentrancy эксплуатирует view-функции, возвращающие цены или балансы. В ходе callback-окна внутри транзакции, изменяющей состояние, злоумышленник инициирует чтение view-функции, которая возвращает устаревшие или несогласованные данные; протоколы, использующие эти значения для ценовых оракулов или расчёта залогов, затем действуют на основе манипулированных цен. Исследователь безопасности bytes032 опубликовал широко распространившийся тред 20 января 2023 года с разбором уязвимости, выпущенный через недавно созданный Web3Security DAO.
LavaTube обеспечивает рекурсивный обход графа объектов JavaScript для исследований в области безопасности
LavaMoat представил @lavamoat/lavatube — инструмент, рекурсивно обходящий каждое свойство каждого значения, доступного из заданной начальной ссылки в графе объектов JavaScript. Команда исследователей безопасности MetaMask использует LavaTube для выявления опасных утечек ссылок — случаев, когда объекты или API, предназначенные для изоляции, непреднамеренно открывают пути к мощным глобальным объектам или конфиденциальным данным в защищаемых приложениях.
LavaMoat выпускает VR-проводник зависимостей, global scuttling и кросс-браузерный Snow
@lavamoat/viz получил новый VR-режим, позволяющий разработчикам исследовать граф зависимостей проекта в иммерсивной трёхмерной среде. Отдельно, global scuttling — механизм, удаляющий мощные встроенные функции из объекта window после того, как LavaMoat захватывает их для наделения полномочиями на основе политик — был введён в ветку разработки MetaMask Extension. После выпуска даже вредоносный React-компонент, обращающийся к window, обнаружит, что мощные функции уже недоступны. @lavamoat/snow, инструмент безопасности realm от LavaMoat, также добавил поддержку всех основных браузеров в своём последнем релизе, обеспечив MetaMask полную видимость всех realm как в Chrome, так и в Firefox.
Endo приближается к поддержке политик в стиле LavaMoat с безопасным бандлером на проверке
Проект Endo вышел на финальный этап проверки первой итерации поддержки политик в стиле LavaMoat. Для полного паритета с политиками LavaMoat оставались незначительные функции, однако никаких критических изменений не планировалось. На проверке также находилась ранняя реализация безопасного бандлера, управляющего областями видимости без использования eval — что устраняет распространённую поверхность атаки в системах модулей JavaScript.
Поддельные игровые загрузки предупреждены как вектор распространения троянов удалённого доступа
17 января 2023 года исследователь безопасности MetaMask harry.eth (@sniko_) предупредил об ожидаемом всплеске активности троянов удалённого доступа (RAT), распространяемых через поддельные игровые загрузки. Схема социальной инженерии предполагает, что злоумышленник выдаёт себя за представителя метавселенной игрового проекта и предлагает бесплатные токены в обмен на «тестирование» игрового клиента, который на самом деле является установщиком RAT. После установки RAT может предоставить злоумышленнику полный удалённый доступ к устройству жертвы, как правило с последующим DeFi-фишингом для опустошения токенов.
Wallet Guard сообщает об уязвимости Chrome, эксплуатируемой через поддельные сайты загрузки кошельков
Wallet Guard предупредил пользователей о необходимости осторожности при загрузках, задокументировав уязвимость Google Chrome, которую можно было использовать для кражи данных криптокошелька. Уязвимость, устранённая 29 ноября 2022 года в Chrome 108, требовала, чтобы жертва посетила поддельный сайт криптокошелька и «загрузила» свою Секретную фразу восстановления, после чего злоумышленник мог злоупотреблять файлами символических ссылок. Главный совет: не загружайте случайные файлы из ненадёжных источников.
Отчёт MetaMask о безопасности в криптовалютах за январь 2023 года охватил мошенничество с отравлением адресов, засоряющее историю транзакций похожими адресами, read-only reentrancy как самостоятельный вектор атак в DeFi, а также представление LavaTube от LavaMoat для выявления опасных утечек ссылок в графах объектов JavaScript. Просматривайте предыдущие выпуски Отчёта MetaMask о безопасности в криптовалютах для получения информации об угрозах, тенденциях и советах по безопасности в экосистеме.
