Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В июле 2024 года программа вознаграждений за обнаружение уязвимостей MetaMask на платформе HackerOne получила высокую оценку от основателей HackerOne, а Збигнев Тенерович и Гал Вайцман из Security Lab представили LavaMoat, LavaDome и изоляцию DOM на конференциях x33fcon, BlueHatIL и OWASP. Кроме того, предложение MetaMask по Realms Initialization Control было принято на инкубацию. Среди угроз: биржа WazirX потеряла более 230 миллионов долларов в результате эксплойта multisig-кошелька, уязвимость Squarespace позволила захватить домены по всей отрасли, утечка данных из списка рассылки Ethereum.org подвергла 35 000 пользователей атаке с опустошением кошельков, а ФБР предупредило о росте числа мошенничеств с криптовалютными вакансиями. Подробный разбор — ниже, но сначала...
Выдающийся деятель науки: Сесар Мильштейн — нобелевский лауреат, первопроходец в области моноклональных антител
Сесар Мильштейн (1927–2002) — аргентинский биохимик, удостоенный Нобелевской премии по физиологии и медицине 1984 года за разработку метода производства моноклональных антител. Антитела — это точные инструменты иммунной системы, созданные для распознавания и нейтрализации конкретной угрозы. Работы Мильштейна сделали возможным их надёжное производство в промышленных масштабах. Идея целенаправленного и воспроизводимого обнаружения угроз — именно то, к чему стремятся современные инструменты безопасности.
Программа вознаграждений MetaMask за обнаружение уязвимостей на HackerOne получила похвалу от основателей платформы
Программа вознаграждений MetaMask за обнаружение уязвимостей была отмечена обоими основателями HackerOne — Джобертом Абмой и Михилом Принсом — за оперативное внедрение новых улучшений политики: Open Scope, вознаграждающей отчёты по всем активам MetaMask в зависимости от степени воздействия, и Fast Payment, гарантирующей выплату в течение месяца с момента получения отчёта. За предшествующие 90 дней программа получила 120 отчётов, среднее время от подачи до выплаты вознаграждения составило 3 дня и 15 часов, а общая сумма выплат достигла 266 000 долларов. MetaMask выразила благодарность сообществу исследователей — в том числе pkkr, imnarendrabhati, p1security, Nicocha30, T41nk, René Kroka, renniepak, hackerOnTwoWheels и redyetihacks — и приглашает всех, кто обнаружит уязвимость, сообщать о ней через программу HackerOne.
Збигнев Тенерович рассказывает о защитном программировании на x33fcon
Збигнев Тенерович из MetaMask Security Lab снова в деле! В июне 2024 года ZB принял участие в x33fcon — конференции для специалистов по ИТ-безопасности «где красные встречаются с синими», выступив с молниеносным докладом и проведя воркшоп по защитному программированию. Это очередной шаг в его работе по популяризации безопасности цепочки поставок — ключевого направления LavaMoat. Его доклад и интервью уже доступны для просмотра.
Гал Вайцман представляет изоляцию DOM на BlueHatIL и OWASP, а Realms Initialization Control принят на инкубацию
Гал Вайцман, также из MetaMask Security Lab, выступил с докладом об изоляции DOM и проекте LavaDome на конференции Microsoft BlueHatIL и глобальной конференции OWASP AppSec в Лиссабоне, рассмотрев, как различия в подходах к защите централизованных и децентрализованных архитектур расширяют границы безопасности веб-приложений. Кроме того, он сообщил, что предложение Realms Initialization Control, представленное MetaMask, было одобрено для инкубации группой Web Incubator Community Group. Реализация этого предложения в конечном счёте должна обеспечить нативное решение на уровне браузера для проблемы «одного источника», которую изначально был призван решить проект Snow, — важный шаг на пути к защите от сложных проблем безопасности на стороне клиента.
Угрозы криптоотрасли со стороны группы DPKR Lazarus и их кампания TraderTraitor
Тейлор Монахан из MetaMask Security исследовала новую кампанию под названием TraderTraitor, проводимую участниками группы Lazarus — продвинутой постоянной угрозы (APT), связанной с Северной Кореей. TraderTraitor использует целевой фишинг для атак на сотрудников криптовалютных компаний с целью хищения миллионов долларов. Монахан предупреждает: любой, кто работает в криптоиндустрии на любом уровне, должен считать себя потенциальной целью. Её рекомендации: устраните единые точки отказа, используйте аппаратные кошельки и аппаратную MFA, не запускайте и не собирайте код от незнакомцев, используйте разные устройства для общения и для работы с криптовалютой, учитесь на чужих ошибках, обучайте окружающих и сохраняйте здоровый скептицизм.
Мошенники попались на удочку: Pink Drainer потерял 30 000 долларов в результате атаки с подменой адреса
В ироничном повороте событий печально известная мошенническая группа Pink Drainer сама стала жертвой атаки с подменой адреса, потеряв около 30 000 долларов в эфире после того, как была обманута и отправила средства на поддельный адрес, очень похожий на настоящий. Компания по соблюдению требований в сфере криптовалют MistTrack сообщила об инциденте, отметив иронию ситуации, когда мошенников обманули их же методами. Pink Drainer только что объявила о своём уходе в мае 2024 года, похитив миллионы долларов из криптовалютных кошельков.
Утечка данных из стороннего списка рассылки Ethereum.org подвергла 35 000 пользователей атаке с опустошением кошельков
2 июля 2024 года Ethereum сообщила о компрометации своего списка рассылки, в результате которой более 35 000 пользователей подверглись попытке фишинга. Злоумышленник отправил электронное письмо, замаскированное под сотрудничество с Lido DAO, направляя получателей на сайт, обещавший высокую доходность от стейкинга Ethereum, который на самом деле являлся дрейнером. Команда безопасности Ethereum оперативно заблокировала атаку, оповестила сообщество и добавила вредоносную ссылку в блок-листы; потерь зафиксировано не было, и Ethereum приступила к миграции почтовых сервисов для повышения безопасности.
Уязвимость Squarespace позволяет проводить атаки с захватом доменов
Что произошло
Исследователи обнаружили, что слабые настройки безопасности по умолчанию в процессе регистрации доменов Squarespace позволили злоумышленникам захватывать домены. Недостаточная верификация и возможность изменять настройки домена без надлежащей аутентификации позволили им перехватить управление, перенаправить трафик и потенциально похитить конфиденциальные данные. В разборе инцидента Squarespace назвала причиной уязвимости, связанные с OAuth, заявила об устранении проблемы и сообщила об отсутствии дополнительных компрометаций. После скоординированного общеотраслевого реагирования samczsun — совместно с Тейлор Монахан из MetaMask Security, AndrewMohawk и другими — опубликовал ретроспективный анализ.
Как пользователи могут защитить себя
Пользователям следует усилить защиту своих аккаунтов Squarespace, включив двухфакторную аутентификацию (2FA) и удалив лишних участников, а также рассмотреть возможность перехода к регистраторам, поддерживающим аппаратные токены для 2FA.
WazirX теряет более 230 миллионов долларов в результате эксплойта multisig-кошелька
Индийская криптовалютная биржа и торговая платформа WazirX подверглась кибератаке на один из своих кошельков с мультиподписью (multisig), потеряв более 230 миллионов долларов. Кошелёк, управляемый через сервис хранения цифровых активов Liminal, требовал нескольких подписей — трёх от WazirX и одной от Liminal, — однако атака использовала расхождение между тем, что отображал интерфейс Liminal, и фактическим содержимым транзакции, предположительно подменив полезную нагрузку для передачи управления злоумышленнику. Этот инцидент напоминает о том, что кастодиальные решения контролируют вывод средств, тогда как при использовании самокастодиальных кошельков только сам пользователь управляет своими средствами. WazirX объявила о вознаграждении в размере до 23 миллионов долларов за помощь в идентификации, отслеживании и возврате похищенных средств.
ФБР предупреждает о росте числа мошенничеств с криптовалютными вакансиями
В июне 2024 года Федеральное бюро расследований (ФБР) опубликовало предупреждение для общественности о мошенничествах с криптовалютными вакансиями, при которых злоумышленники выдают себя за законных работодателей, заманивая жертв поддельными предложениями о работе. В том же месяце ведомство опубликовало более подробный материал о том, как работают подобные схемы и на что следует обращать внимание. Как правило, они предполагают убеждение жертв открыть криптовалютные счета или перевести средства, в результате чего деньги похищаются. ФБР рекомендует соискателям с осторожностью относиться к незапрошенным предложениям о работе, проверять легитимность работодателей и избегать передачи личной или финансовой информации непроверенным источникам. Жертвам подобных мошенничеств рекомендуется сообщать об инцидентах в Центр рассмотрения жалоб на интернет-преступления ФБР (IC3). Помимо мошенничеств, направленных против соискателей, компаниям также следует остерегаться атак в ходе собеседований и угроз со стороны инсайдеров — риск, подчёркнутый сообщениями о попытках северокорейских агентов выдать себя за удалённых ИТ-специалистов и вредоносных программах для фиктивных собеседований, нацеленных на Mac.
В отчёте MetaMask о безопасности в криптовалютной сфере за июль 2024 года рассматриваются: признание программы вознаграждений за обнаружение уязвимостей на HackerOne, эксплойт multisig-кошелька WazirX с потерей более 230 миллионов долларов, а также ряд угроз, включая уязвимость захвата доменов Squarespace, утечку данных из списка рассылки Ethereum.org и рост числа мошенничеств с криптовалютными вакансиями. Просматривайте предыдущие выпуски отчёта MetaMask о безопасности в криптовалютной сфере для получения информации об угрозах, тенденциях и советах по обеспечению безопасности в экосистеме.
