Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В июне 2024 года Consensys приобрела Wallet Guard для усиления обнаружения мошенничества и дрейнеров в MetaMask, MetaMask обновила политику конфиденциальности для большей прозрачности и контроля, а LavaMoat запустила новый сайт. Security Alliance также открыла фонд юридической защиты для исследователей-«белых шляп». Среди угроз: мошенничество с трудоустройством, связанное с APT-группами, аффилированными с Северной Кореей, продолжало атаковать криптоработников; пользователь потерял $11 миллионов из-за фишинга подписей; взлом поставщика email-услуг CoinGecko привёл к рассылке десятков тысяч фишинговых писем; вредоносное расширение Aggr для Chrome похитило более $1 миллиона, перехватывая куки бирж. Подробный разбор — ниже, но сначала...
Выдающийся учёный в области STEM: Бен Баррес, нейробиолог, раскрывший роль глиальных клеток
Бен Баррес (1954–2017) — американский нейробиолог, чьи исследования сыграли ключевую роль в изучении взаимодействия глиальных клеток с нейронами нервной системы. Он показал, что долгое время недооценённые «вспомогательные» клетки мозга на самом деле необходимы для его работы и защиты. Он также стал первым открыто трансгендерным учёным, избранным в Национальную академию наук США, и активным сторонником равенства в науке. Его работа напоминает: системы, выполняющие тихую защитную работу в фоновом режиме, зачастую важнее всего.
MetaMask обновляет политику конфиденциальности для большей прозрачности и контроля пользователей над своими данными
Конфиденциальность и безопасность неразрывно связаны, и MetaMask относится к приватности пользователей очень серьёзно. В этом месяце, в духе осознанного согласия, MetaMask выпустила обновлённую политику, чтобы пользователи знали, что мы делаем для их защиты, и имели большую прозрачность и контроль над своими персональными данными. Вы можете прочитать наше объявление и полное уведомление, а также ознакомиться с нашими ресурсами по конфиденциальности и безопасности.
MetaMask может временно обрабатывать ваш IP-адрес только там, где это необходимо для некоторых наших Сервисов (в зависимости от настроек MetaMask), чтобы обеспечить наилучший опыт для пользователей MetaMask. Это включает, например, защиту от DDoS-атак.
Мы не собираем ваши приватные ключи.
Мы не продаём вашу персональную информацию.
Мы не собираем и не храним персональную информацию, если это не необходимо для предоставления вам Сервисов и качественного пользовательского опыта.
Мы не собираем финансовые платёжные или банковские данные. Однако при использовании функций on- или offramp эти сервисы могут потребовать от вас предоставить такую информацию сторонним провайдерам.
Consensys приобретает Wallet Guard для усиления безопасности MetaMask
Мы невероятно рады, что замечательная команда Wallet Guard официально присоединилась к MetaMask, продвигая нас вперёд в стремлении обеспечить пользователям максимально защищённый опыт. Как говорится в объявлении, интеграция «усилит безопасность MetaMask, улучшив обнаружение мошенничества и дрейнеров с помощью валидации транзакций и клиентской эвристики, обеспечивая пользователям превосходную защиту в реальном времени от вредоносных децентрализованных приложений и мошенничества при сохранении конфиденциальности и самосуверенитета».
LavaMoat запускает новый сайт
Всё о LavaMoat теперь находится на lavamoat.github.io, включая вводное видео о том, как набор инструментов с открытым исходным кодом защищает JavaScript-проекты от атак на цепочку поставок. Збигнев Тенерович из MetaMask также представил воркшоп по защитному программированию, который он проводил на DEFCON предыдущим летом, на конференциях Confidence и X33FCON, чтобы рассказать о LavaMoat более широкой аудитории.
Состояние безопасности: MetaMask и Wallet Guard
В последнем выпуске серии State of Security от MetaMask и Wallet Guard Райан Джонс и Гал Вейцман присоединились к Ому и Майклу, чтобы обсудить симуляции транзакций, интероперабельность, MetaMask Web и использование LavaMoat для защиты от атак на цепочку поставок — а также традиционные советы по безопасности в крипте.
Мошенничество с трудоустройством растёт: группы, связанные с Северной Кореей, атакуют криптоработников
ФБР США выпустило публичное предупреждение, призывая соискателей удалённой работы проявлять осторожность. Крипто- и блокчейн-вакансии не были названы напрямую, но команды MetaMask по анализу угроз и безопасности пользователей сообщают, что сообщество подвергается особенно активным атакам. Относитесь к незапрошенным предложениям о работе с повышенной подозрительностью, никогда не переходите по ссылкам и не открывайте вложения из ненадёжных сообщений, и никогда не соглашайтесь, «если вас просят делать криптовалютные платежи работодателю в рамках работы». Значительная часть этих мошенничеств связана с группами продвинутых постоянных угроз (APT), которые нередко спонсируются государством — как прямо выразился один менеджер по найму, zak: «буквально каждый разработчик, которого мы недавно собеседовали, скорее всего, был северокорейцем». Криптобизнесам также следует проявлять крайнюю бдительность при собеседовании кандидатов, поскольку это тоже стало популярным вектором атак. Обязательно проводите тщательные собеседования с проверкой достоверной и последовательной биографической информации и требуйте, чтобы кандидаты были на камере.
SEAL запускает фонд юридической защиты для исследователей-«белых шляп»
Этичные хакеры-«белые шляпы» — краеугольный камень нашей индустрии. Эти исследователи обнаруживают уязвимости и ответственно раскрывают их до того, как злоумышленники успевают ими воспользоваться. Однако, как недавно объяснил Security Alliance (SEAL), история web2 показывает, что «эта важная работа иногда может приводить к значительным юридическим рискам и последующим расходам, особенно когда их исследования и раскрытия нежелательны или неправильно поняты». Поэтому SEAL запустил инициативу совместно с Security Research Legal Defense Fund для предоставления юридических ресурсов правомочным исследователям, использующим Whitehat Safe Harbor Agreement.
Пользователь теряет $11 миллионов из-за фишинга подписей
Что произошло
22 июня 2024 года пользователь подписал несколько фишинговых подписей permit, что привело к потере токенов на сумму $11 миллионов. Впоследствии выяснилось, что жертвой оказался делегат управления MakerDAO. Исследователь SEAL Pcaversaccio считает фишинг подписей главной проблемой нашей индустрии, отмечая, что пользователи игнорируют предупреждения и не задумываются о последствиях их подписания. Тейлор Монахан из MetaMask назвала общую оценку ущерба от фишинга одобрений с 2021 года — более $600 миллионов.
Как пользователи могут защитить себя
Пользователи могут защитить себя, следуя трём ключевым шагам.
Ограничьте активы в кошельке, которым пользуетесь ежедневно. Если вы подпишете вредоносную подпись, ущерб будет минимальным.
Проверьте домен, из которого исходит запрос подписи, и убедитесь, что он совпадает с доменом оригинального проекта. Быстрый способ сделать это — перейти на официальную страницу проекта в социальных сетях или блог и проверить, совпадают ли домены из этих профилей с запросом.
Проверьте токен и адреса в запросе. Запрос нередко касается токена, который вы не собирались отправлять. Адрес получателя и/или адрес транзакции будут отличаться от того, который вы имели в виду.
Эти простые проверки помогут предотвратить непреднамеренную потерю средств.
23 000 фишинговых писем после взлома поставщика email-услуг CoinGecko
Что произошло
CoinGecko, агрегатор криптовалютных данных, подвергся утечке данных 5 июня 2024 года через скомпрометированный аккаунт на своей сторонней платформе email-маркетинга GetResponse. Злоумышленник получил доступ почти к 2 миллионам контактов и разослал 23 723 фишинговых письма с аккаунта другого клиента, раскрыв имена пользователей, адреса электронной почты, IP-адреса и местоположения — при этом аккаунты и пароли пользователей CoinGecko остались в безопасности.
Как пользователи могут защитить себя
Пользователям следует с крайней осторожностью относиться к любым письмам о получении airdrop или токенов и избегать перехода по ссылкам или загрузки вложений из незапрошенных писем. Криптопроекты несут ответственность за бдительный контроль над мерами безопасности, применяемыми сторонними поставщиками, с которыми они работают.
Вредоносное расширение Chrome похищает более $1 миллиона
Что произошло
Aggr, изначально позиционировавшийся как агрегатор торговых данных, оказался вредоносным расширением для Chrome. В начале июня 2024 года пользователь Binance сообщил о потере $1 миллиона, которую SlowMist отследил до плагина Aggr. SlowMist обнаружил, что Aggr перехватывал куки трейдеров — в частности, связанные с криптовалютными биржами — которые злоумышленники использовали для доступа к порталам централизованных бирж (CEX) и захвата контроля над аккаунтами жертв.
Как пользователи могут защитить себя
Урок: будьте бдительны в отношении любого программного обеспечения, которое вы устанавливаете, включая расширения браузера, и изучайте разработчиков — отдавайте предпочтение проверенным и авторитетным, а не анонимным аккаунтам без истории, и изучайте историю приложения, прежде чем доверять ему.
Отчёт MetaMask о безопасности в крипте за июнь 2024 года охватил приобретение Consensys компании Wallet Guard, обновлённую политику конфиденциальности MetaMask и ряд угроз, включая потерю $11 миллионов из-за фишинга подписей, взлом поставщика email-услуг CoinGecko и вредоносное расширение Aggr для Chrome, похитившее более $1 миллиона. Просматривайте предыдущие выпуски Отчёта MetaMask о безопасности в крипте для получения информации об угрозах, тенденциях и советах по безопасности в экосистеме.
