Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
Главная тема этого месяца: наши исследователи Тейлор Монахан и Гарри Денли продолжили расследование взлома на несколько блокчейнов на сумму около 10 миллионов долларов, в результате которого были опустошены кошельки примерно 300 давних пользователей криптовалют, чьи Secret Recovery Phrases оказались раскрыты. FTC также предупредила о фишинговых письмах, имитирующих криптовалютные компании, а удобный чеклист для расследования опустошения кошелька разошёлся по сети. На инженерном фронте: LavaMoat объединил 27 обновлений зависимостей и продвинул плагин ScorchWrap, усиление защиты MetaMask Mobile и функцию «scuttling»; Endo улучшил обработку ошибок CommonJS; а доклад Збигнева Тенеровича «Eval all the Strings!» о Hardened JavaScript стал доступен онлайн. Полный разбор — ниже, но сначала...
Выдающийся пионер STEM: Ада Лавлейс — первый программист в истории
Ада Лавлейс (1815–1852) — английский математик, которую считают первым программистом в истории за работу над предложенной Чарльзом Бэббиджем Аналитической машиной, включая алгоритм вычисления чисел Бернулли. Она также предвидела, что подобная машина способна на гораздо большее, чем просто вычисления. Это раннее стремление к точной, проверяемой логике — та же дисциплина, на которой по сей день держится надёжная программная безопасность.
Обновление LavaMoat: 27 pull request'ов с зависимостями, ScorchWrap, защита мобильной версии и scuttling
LavaMoat объединил 27 отдельных pull request'ов с обновлениями зависимостей в своих пакетах, включая исправления известных уязвимостей, и выпустил минорные релизы с обновлёнными зависимостями и исправлениями совместимости с Node.js 18. Продолжилась работа над webpack-плагином ScorchWrap: был достигнут прогресс во включении runtime непосредственно в бандл и выявлены особенности совместимости с другими плагинами. Наша команда также продолжила работу над защитой цепочки поставок LavaMoat для MetaMask Mobile — чтобы даже скомпрометированная зависимость не могла получить доступ к чувствительным браузерным API. В рамках этой работы команда устранила необработанные исключения (TypeError, выбрасываемые библиотеками, такими как ethjs), которые возникали при отладке в Chrome V8. Параллельно продвигалась работа над функцией «scuttling» — она отключает доступ к общим глобальным объектам во всём окне в тех случаях, когда полномочия пакета в противном случае были бы слишком широкими.
Endo улучшает обработку ошибки отсутствующего модуля CommonJS в compartment-mapper
Endo улучшил обработку ошибки отсутствующего модуля CommonJS в своём compartment-mapper, сделав сообщения об ошибках более понятными в случаях, когда требуемый модуль не удаётся найти.
Доклад Збигнева Тенеровича «Eval all the Strings!» о Hardened JavaScript
Збигнев Тенерович (ZB) из MetaMask выступил с кратким докладом «Eval all the Strings!» на Node Congress в Берлине в апреле 2023 года. Чуть более чем за 7 минут ZB рассказал о Secure ECMAScript (SES) и Compartments — обоих предложениях TC39 — и об инструментах, которые он разрабатывает, чтобы сделать их практически применимыми. По его словам: «SES + инструментарий (LavaMoat или Endo) позволяет ограничивать доступ к сети, файловой системе, основным модулям или глобальным объектам на уровне отдельных пакетов… Для меня это финальный шаг в обеспечении безопасности цепочки поставок npm — даже если пакет захватят злоумышленники, он не сможет причинить мне вред».
«Этот доклад посвящён SecureEcmaScript и Compartments — предложениям TC39. Я работаю над инструментарием, чтобы сделать эти концепции применимыми на практике совместно с людьми, продвигающими эти предложения. Это рассказ из первых уст о будущем безопасности JavaScript. SES + инструментарий (LavaMoat или Endo) позволяет ограничивать доступ к сети, файловой системе, основным модулям или глобальным объектам на уровне отдельных пакетов. Я хочу показать, как они работают, какие возможности открывают и как с определёнными усилиями воплотить это будущее уже сегодня. Для меня это финальный шаг в обеспечении безопасности цепочки поставок npm — даже если пакет захватят злоумышленники, он не сможет причинить мне вред».
The Defiant: Тейлор Монахан из MetaMask объясняет взлом на 10 миллионов долларов в нескольких блокчейнах
В интервью The Defiant исследователь безопасности MetaMask Тейлор Монахан рассказала о взломе нескольких блокчейнов, расследование которого она и её коллега Гарри Денли начали в апреле 2023 года — масштабной атаке, направленной против давних пользователей криптовалют, — а также поделилась советами по безопасности и обсудила концепции «код — это закон» и «блокчейн неизменен». Злоумышленники использовали нестандартный метод: они обменивали похищаемые активы прямо в кошельке жертвы, прежде чем отправить их на децентрализованную биржу (DEX). Способ, которым атакующие получили доступ к данным примерно 300 человек с раскрытыми Secret Recovery Phrases, по-прежнему неизвестен; предполагается, что атака не была проведена с помощью типичных методов фишинга. Среди рекомендаций Монахан по повышению безопасности — использование аппаратного кошелька и распределение активов по нескольким кошелькам.
Чеклист для расследования опустошения кошелька от Jon_HQ
Если кошелёк всё же был опустошён, разобраться в том, как произошла атака, под силу не только специалистам по безопасности. Пользователь Twitter Jon_HQ опубликовал подробный чеклист в Twitter 5 мая 2023 года — он описывает шаги, которые необходимо предпринять при расследовании опустошения кошелька. Стоит добавить его в закладки.
FTC предупреждает: срочные письма от криптокомпаний — это фишинг
Потребительское предупреждение от Федеральной торговой комиссии (FTC) призвало общественность проявлять особую осторожность в отношении сообщений, якобы исходящих от криптовалютных сервисов. В случае любого нежелательного письма FTC рекомендовала не торопиться с действиями вне зависимости от его содержания — создание ложного ощущения срочности является стандартной тактикой мошенников, призванной отключить критическое мышление, — а также не переходить по ссылкам в нежелательных письмах и поддерживать защитное программное обеспечение в актуальном состоянии. Фишинговые письма от самозванцев, выдающих себя за MetaMask, можно сообщить по адресу https://support.metamask.io/chat.
Как отличить настоящие аккаунты MetaMask от поддельных
Мошенники часто выдают себя за известные криптовалютные бренды, создавая похожие сайты, письма и профили в социальных сетях, чтобы обманом получить доступ к аккаунтам пользователей. Чтобы помочь вам оставаться в безопасности, наша база знаний поддержки объясняет, как распознать настоящий MetaMask и убедиться, что вы используете правильный канал поддержки.
Отчёт MetaMask о криптобезопасности за май 2023 года охватывает продолжение расследования Тейлор Монахан взлома на 10 миллионов долларов в нескольких блокчейнах, направленного против давних пользователей криптовалют, предупреждение FTC о фишинговых письмах, имитирующих криптокомпании, и доклад Збигнева Тенеровича «Eval all the Strings!» о Hardened JavaScript. Просматривайте предыдущие выпуски Отчёта MetaMask о криптобезопасности, чтобы быть в курсе угроз, тенденций и советов по безопасности в экосистеме.
