Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых необходимо знать.
В марте 2023 года команды Endo и LavaMoat пересмотрели свой подход к безопасной сборке — приостановили эксперимент с webpack-transform в пользу webpack loader, расширили глобальное scuttling на дочерние realm-среды и возобновили поддержку React Native для мобильного приложения MetaMask. Кроме того, MetaMask опубликовал два доклада сезона EthDenver: сооснователь Дэн Финлей — о Delegatable, а исследователь безопасности Гал Вейцман — о JavaScript realm-средах и Snow. Главный урок месяца — сохранять осторожность в отношении аirdrop-кампаний: мошенничество резко участилось на фоне раздачи токенов Arbitrum, где около 2 400 кошельков были скомпрометированы заранее, злоумышленники использовали поддельный снимок состояния MetaMask для перенаправления пользователей на фишинговые сайты, а аналогичные схемы применялись против Polkadot, Shiba Inu и фиктивного токена OpenAI. Подробный разбор — ниже, но сначала...
Выдающийся деятель STEM: Фейт Лиллибридж, оператор суперкомпьютера NORC Колумбийского университета
На фотографии 1954 года Фейт Лиллибридж запечатлена за пультом управления NORC (Naval Ordnance Research Calculator) на пятом этаже Лаборатории научных вычислений Уотсона Колумбийского университета. Созданный компанией IBM для ВМС США, NORC на момент торжественного открытия в 1954 году был самым мощным компьютером в мире. Операторы, работавшие на таких машинах, превращали оборудование размером с комнату в надёжный и воспроизводимый вычислительный инструмент — та же дисциплинированная, точная до деталей работа, которая по сей день лежит в основе заслуживающих доверия систем.
Endo приостанавливает подход с webpack-transform и добавляет exitModuleImportHook для lavamoat-node
Попытки Endo встроиться в webpack-трансформации без нарушения исходных операторов import/export оказались безуспешными — если только не разобрать webpack и не использовать его как фреймворк для построения бандлера. Endo решила приостановить эти усилия и сосредоточиться на более простом решении, экспериментируя с новым методом в open-source инструментарии LavaMoat. Отдельно, в последнем обновлении compartment-mapper для Endo был добавлен exitModuleImportHook, позволяющий динамически импортировать exit-модули без необходимости заранее составлять их список — это последняя ключевая функция, необходимая для того, чтобы compartment-mapper мог служить бэкендом для lavamoat-node. Белый список Endo SES также получил незначительное обновление для React Native Android JSC в endojs/endo #1511, закрыв давнюю проблему #660 (в последнее время отслеживаемую в LavaMoat/docs #16) и дополнительно изученную в задаче #181 скриптов сборки React Native JSC.
LavaMoat тестирует webpack loader и распространяет глобальное scuttling на дочерние realm-среды
LavaMoat начала изучать альтернативный подход к безопасной сборке с использованием webpack loader для реализации компартментализации с последующим добавлением runtime. Поскольку слои выше загрузчиков остаются неизменными, большинство функций, таких как tree-shaking, продолжают работать; основной риск состоит в том, что пользовательские плагины могут непредсказуемо изменять код. Функция безопасности scuttling теперь может применяться ко всем потенциальным дочерним realm-средам одного происхождения (например, iframe) путём настройки экспериментального параметра «scuttleGlobalThis» совместно со Snow (прогресс здесь). Незначительное обновление примеров LavaMoat Browserify появилось в LavaMoat/LavaMoat #476.
LavaMoat возобновляет поддержку React Native для мобильного приложения MetaMask
Поддержка React Native была восстановлена — работа возобновилась с интеграции Endo SES lockdown, изначально ориентированной на RN v0.66.5, а теперь — на RN v0.71.4; интеграция с мобильным приложением MetaMask ведётся в настоящее время. Прогресс отслеживается в эпике LavaMoat React Native.
Дэн Финлей представляет доклад «Better Dapps with Delegatable» на EthDenver
Дэн Финлей дебютировал на EthDenver в 2023 году с докладом о Delegatable, поделившись видением того, как делегирование может сделать разработку децентрализованных приложений более безопасной и простой. По его словам: «Многие люди получают airdrop-токены, а затем лишаются всех своих средств… Delegatable позволяет делегировать другому аккаунту всё, что можно сделать через контракт. В нём предусмотрена гибкая система оговорок, позволяющая ограничивать передаваемые полномочия любым удобным способом. Это даёт возможность держать горячие кошельки в большей безопасности, ограничивая их возможности, но при этом сохраняя их функциональность в сети».
Гал Вейцман представляет доклад «JS Realms, Security Blank Spot»
Гал Вейцман выступил с докладом о растущих угрозах атак на цепочку поставок, связанных с зависимостями, и о том, как Snow JS помогает устранить пробелы в защите. В числе тем — эволюция веба, важность безопасности и прозрачности, сторонние решения, JavaScript realm-среды и Snow JS.
Всплеск airdrop-мошенничества: хакеры выдают себя за других, а поддельный снимок состояния MetaMask используется для фишинга
В марте 2023 года подозрительная активность вокруг airdrop-кампаний резко возросла. В предыдущем месяце MetaMask опубликовал обзор опасностей rug pull и airdrop-мошенничества, напомнив пользователям, что предложения «бесплатных денег» — распространённая приманка злоумышленников. Именно это и произошло, когда мошенники распространили в социальных сетях ложное утверждение о том, что MetaMask сделает снимок состояния или проведёт airdrop 31 марта — приманку, призванную направить пользователей на фишинговые сайты, похищающие средства у всех, кто пытается получить несуществующие токены. MetaMask разоблачил мошенничество и предупредил сообщество 29 марта 2023 года, указав, что ложное утверждение «не только не соответствует действительности, но и … опасно» — именно потому, что создаёт возможности для мошенников и фишеров, нацеленных на активы пользователей. Аналогичные airdrop-схемы, имитирующие Polkadot, Shiba Inu и поддельный токен OpenAI DeFi (GPT-4), использовали ту же тактику на протяжении всего месяца.
Около 2 400 кошельков атакованы накануне airdrop Arbitrum
За несколько дней до airdrop Arbitrum Arkham сообщил 20 марта 2023 года, что хакер в течение предшествующих 12 часов отправлял средства примерно на 2 400 предположительно скомпрометированных кошельков, которые затем одобрили токен ARB в ожидании получения выплаты — с адреса 0x59d4...fb19. По итогам произошедшего CoinDesk опубликовал материал «Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be», посвящённый тому, сколько всего может пойти не так.
Предупреждение об утечке глобального API-ключа Cloudflare для web3-команд
Исследователь безопасности MetaMask Тейлор Монахан (@tayvano_) призвала команды, использующие Cloudflare для web3-продуктов, незамедлительно принять меры 24 марта 2023 года: сменить глобальный API-ключ для всех аккаунтов и удалить все аккаунты, добавленные в Cloudflare, если их глобальный API-ключ ещё не был заменён. Устаревший глобальный API-ключ предоставляет полный доступ к аккаунту, что делает его утечку особенно опасной.
Приглашение на «конференцию» в метавселенной использовано как инструмент социальной инженерии
Trading Uncle (@thetradingunc) задокументировал попытку социальной инженерии 14 марта 2023 года: некий аккаунт отправил личное сообщение с похвалой в адрес контента получателя и приглашением выступить на «конференции» в метавселенной вместе с другими участниками — подход, призванный усыпить бдительность жертвы перед реализацией мошеннической схемы.
Отчёт MetaMask о криптобезопасности за март 2023 года охватывает всплеск airdrop-мошенничества — включая поддельный снимок состояния MetaMask, использованный для фишинга, — около 2 400 кошельков, скомпрометированных накануне airdrop Arbitrum, а также предупреждение об утечке глобального API-ключа Cloudflare для web3-команд. Просматривайте предыдущие выпуски Отчёта MetaMask о криптобезопасности, чтобы быть в курсе угроз, тенденций и советов по обеспечению безопасности в экосистеме.
