Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых необходимо знать.
В июле 2023 года команда безопасности MetaMask представила Menpo — стандарт STIX 2.1 для каталогизации инцидентов в DeFi — на DeFi Security Summit, а Гал Вейцман завершил трёхчастную серию публикаций в X о том, как scuttling и Snow от LavaMoat укрепляют безопасность цепочки поставок. Кроме того, LavaMoat продвинул работу над webpack-плагином ScorchWrap и EIP-4361. Среди угроз этого месяца — мошенничество типа «разделка свиньи» (shāz hū pán) и схемы с фейковым майнингом, злоупотребляющие одобрениями токенов, новая схема с фейковыми одобрениями с использованием аирдропнутых газовых токенов, а также кампания социальной инженерии группы Lazarus, распространяющей npm-вредоносное ПО среди разработчиков в сфере криптовалют и кибербезопасности. Полный разбор — ниже, но сначала...
Выдающийся STEM-пионер: Джозефин Джу, математик и аэрокосмический технолог NASA
Джозефин Джу — математик и аэрокосмический технолог NASA, вошедшая в историю как одна из «скрытых фигур» ведомства и одна из первых американок азиатского происхождения, работавших программистом в Центре пилотируемых космических кораблей NASA. Там она внесла вклад в разработку программного обеспечения для программы Apollo. Точность и надёжность, которых её работа требовала от раннего критически важного программного обеспечения, — тот же стандарт, на котором по сей день держатся надёжные системы.
MetaMask представляет Menpo — базу данных инцидентов DeFi по стандарту STIX 2.1 — на DeFi Security Summit
На DeFi Security Summit 2023 Херман Юнге представил Menpo — проект, который команда безопасности MetaMask разрабатывает для стандартизации каталогизации инцидентов в DeFi с использованием STIX 2.1. Инициатива, созданная по замыслу Юнге, способствует межорганизационному сотрудничеству аналитиков и исследователей в области безопасности для обогащения общей базы данных об угрозах.
Гал Вейцман завершает трёхчастную серию публикаций в X о scuttling и Snow от LavaMoat
Продолжая тему из блога предыдущего месяца, Гал Вейцман завершил свою трёхчастную серию в X, объясняющую, как scuttling и Snow от LavaMoat укрепляют безопасность цепочки поставок MetaMask — и могут сделать то же самое для других приложений. Scuttling делает объект window приложения практически недоступным для внедрённого кода, закрывая распространённый вектор для браузерных атак.
LavaMoat обновляет ScorchWrap, тестирует Snow с CSP и вносит вклад в EIP-4361
Webpack-плагин ScorchWrap теперь использует @lavamoat/aa для идентификации пакетов в зависимостях и применения политики при их импорте; при этом требуется дополнительная работа с эмулируемыми webpack встроенными модулями, такими как buffer и crypto. Команда также предприняла попытку поддержать Snow с помощью рекомендаций Content Security Policy, однако обнаружила, что CSP на iframe srcdoc оказался недостаточно эффективным; следующие шаги включают ограничение DOM API, принимающих текстовый ввод, для повышения безопасности. LavaMoat принял участие в обсуждениях более явной обработки схем в EIP-4361 и предложил алгоритм верификации источника, а также наконец выполнил слияние хука exitModules в Endo. Отдельно стоит отметить, что Зиби ведёт воркшоп по защитному программированию в AppSec Village на DefCon.
Мошенничество типа «разделка свиньи» (shāz hū pán) за 2022–2023 годы отображено на дашборде Dune
Мошенничество с длительным втиранием в доверие, при котором злоумышленники заманивают жертв ложным ощущением безопасности, обещая инвестиционный доход, набирает обороты. Эти схемы — нередко включающие романтическую составляющую и зародившиеся в Китае — известны как shāz hū pán, или «разделка свиньи»: мошенник «откармливает» жертву перед «забоем». Тейлор Монахан из MetaMask Security составила дашборд Dune, который, по её словам, «пытается передать масштаб этих мошенничеств через реальные данные, взятые непосредственно из блокчейна, и истории людей, рассказанные их собственными словами», отмечая, что «эти мошенники привлекают в криптовалюту больше людей, чем любая легитимная криптоорганизация. И всё это — чтобы украсть их деньги».
Схемы с фейковым майнингом эксплуатируют одобрения токенов: разбор от Consensys
Статья в блоге Consensys, написанная Джоэлом Уиллмором, — «Fake 'Mining' Scams: A Familiar Foe in a New Disguise» — разбирает принцип работы схем с одобрением майнинга USDT и майнинга ликвидности, способы их распознавания и методы защиты через понимание и контроль одобрений токенов. Статья включает дашборд Dune от Гарри Денли, отслеживающий подобные схемы. Для более краткого обзора MetaMask также опубликовал справочную статью о мошенничестве с фейковыми майнинговыми ваучерами.
Revoke.cash предупреждает о схеме с фейковыми одобрениями с использованием аирдропнутых газовых токенов
Revoke.cash обратил внимание на новую схему с фейковыми одобрениями, в которой используются аирдропнутые «газовые токены», заставляющие пользователей думать, что у них есть подозрительные одобрения, требующие отзыва. Мошенники программируют фейковые токены таким образом, чтобы в ходе транзакции отзыва чеканилось большое количество газовых токенов, которые затем отправляются злоумышленникам для продажи. Поскольку во всплывающем окне кошелька отображается лишь высокая комиссия, а не факт вывода средств, кражу легко не заметить. В ответ на это Revoke.cash добавил проверку, отключающую отзыв одобрений при чрезмерно высокой комиссии за газ, и рекомендует игнорировать неожиданные транзакции с очень высокими газовыми комиссиями.
Группа Lazarus распространяет npm-вредоносное ПО в ходе кампании социальной инженерии против разработчиков
По данным Socket, группа Lazarus провела сложную кампанию социальной инженерии, направленную против разработчиков в сферах криптовалют и кибербезопасности, используя скомпрометированные аккаунты и заражённые вредоносным ПО npm-пакеты. В материале объясняется, как работает цепочка атаки, как от неё защититься, а также приводится список известных вредоносных npm-пакетов.
Immunefi публикует топ-10 наиболее распространённых уязвимостей в web3
Immunefi опубликовал обзор топ-10 наиболее распространённых уязвимостей в web3, охватывающий уязвимости смарт-контрактов, на которые разработчикам и аудиторам следует обращать внимание при создании безопасных и надёжных контрактов.
Тейлор Монахан делится советами по безопасности кошелька: аппаратные кошельки, бумажные резервные копии и децентрализованное хранение
Тейлор Монахан поделилась практическими советами по обеспечению сохранности средств при использовании web3-кошелька: применение аппаратных кошельков, проверенный временем метод хранения секретной фразы восстановления на бумаге и децентрализация мест хранения средств.
Промежуточный отчёт Chainalysis: криптопреступность снизилась на 65% на фоне роста числа атак с использованием программ-вымогателей
Chainalysis опубликовал промежуточное обновление по криптопреступности, сообщив об общем снижении криптопреступности примерно на 65%, несмотря на рост числа целевых атак с использованием программ-вымогателей.
Отчёт MetaMask по криптобезопасности за июль 2023 года подробно рассмотрел мошенничество типа «разделка свиньи» и схемы с фейковым майнингом, злоупотребляющие одобрениями токенов, новую схему с фейковыми одобрениями с использованием аирдропнутых газовых токенов, а также кампанию социальной инженерии группы Lazarus, распространяющей npm-вредоносное ПО среди разработчиков в сфере криптовалют и кибербезопасности. Просматривайте предыдущие выпуски Отчёта MetaMask по криптобезопасности, чтобы быть в курсе угроз, тенденций и советов по безопасности в экосистеме.
