Отчёт о безопасности в крипто: май 2024

Каждый месяц директор по безопасности MetaMask Лукер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.

В мае 2024 года MetaMask запустил Smart Transactions — обеспечив успешность транзакций на уровне 99,9%, защиту от MEV, предварительное моделирование и улучшенные настройки сетевых комиссий. Мы также опубликовали новое руководство для пользователей по защите Secret Recovery Phrase и провели обсуждение безопасности Snaps совместно с HAPI. В том же месяце прекратил работу Pink Drainer, похитивший десятки миллионов долларов примерно у 20 000 жертв. Кроме того, группа Lazarus в рамках кампании «Contagious Interview» атаковала разработчиков блокчейна с помощью поддельных предложений о работе. Атаки с отравлением адресов продолжали набирать обороты — одна из жертв потеряла 68 миллионов долларов. Подробный разбор — ниже, но сначала...

Выдающийся пионер STEM: Джерри Лоусон, отец картриджа для видеоигр

Джеральд «Джерри» Лоусон (1940–2011) — американский инженер-электронщик, возглавивший команду разработчиков Fairchild Channel F — первой домашней игровой консоли, использующей сменные ROM-картриджи, — что принесло ему титул «отца картриджа для видеоигр». Один из немногих темнокожих инженеров в Кремниевой долине на заре её существования, Лоусон создал модульную систему, позволявшую пользователям безопасно подключать новые возможности — философия проектирования, которая находит отклик в том, как современное программное обеспечение расширяется и изолируется сегодня.

Представляем Smart Transactions: более высокий процент успешных транзакций и защита от MEV

Неэффективность транзакций — это не только вопрос безопасности, но и прямые финансовые потери для пользователей. В этом месяце MetaMask представил Smart Transactions, обеспечивающие успешность транзакций на уровне 99,9%, защиту от максимально извлекаемой стоимости (MEV), предварительное моделирование транзакций и улучшенные настройки сетевых комиссий. Как объяснил исполнительный директор по продукту Гал Элдар, кошельки «занимают уникальное положение и во многом несут ответственность за то, чтобы напрямую решать эти проблемы пользователей». Smart Transactions отражают приверженность MetaMask тому, чтобы сделать отправку транзакций более безопасной, простой, эффективной и надёжной для каждого.

Руководство пользователя по Secret Recovery Phrase, паролю и приватным ключам

В рамках постоянной работы по обучению пользователей MetaMask опубликовал справочную статью о Secret Recovery Phrase, пароле и приватных ключах, призванную помочь новичкам избежать распространённых и дорогостоящих ошибок. Это отличный материал, которым стоит поделиться с теми, кто только начинает знакомство с криптовалютами, — вместе с остальными ресурсами на support.metamask.io.

MetaMask Snaps, безопасность и должная осмотрительность

MetaMask Snaps — это настраиваемые, проверенные сторонние дополнения, расширяющие функциональность кошелька. Наш коллега Кристиан Монтойя совместно провёл X Space с HAPI о том, как Snaps открывают возможности для инноваций, повышающих безопасность пользователей. Как он объяснил, безопасность многогранна: на каждом этапе пути пользователя в web3 требуются различные виды защиты. Аппаратный кошелёк — ценный инструмент, однако «вас всё равно могут опустошить через аппаратный кошелёк, если вы взаимодействуете с вредоносным децентрализованным приложением. Поэтому MetaMask сосредоточен на привлечении поставщиков решений безопасности в самых разных областях». Развёртывание Snaps, ориентированных на безопасность, продолжается.

Возвращаясь к «загадочному взлому» на 10 миллионов долларов, захватившему мир криптовалют

Тейлор Монахан из MetaMask расследует загадочный взлом, в результате которого были скомпрометированы криптовалютные кошельки и похищено около 10 миллионов долларов в эфире у давних пользователей. В интервью The Defiant она поделилась подробностями о том, когда взлом был впервые зафиксирован, и рассказала о последних событиях в этой истории, отметив, что хотя её мнение о первопричине изменилось в ходе дальнейшего расследования, факты остаются неизменными: этот инцидент — очередная атака, связанная с печально известной утечкой данных LastPass, о которой мы сообщали в предыдущих выпусках. Предполагается, что хакер является частью организованной группы и скомпрометировал seed-фразы как минимум 300 жертв, все из которых, по всей видимости, хранили их через LastPass. Помните: ваша Secret Recovery Phrase должна храниться в офлайн-режиме, в надёжном месте, доступном только вам. Она также привела ссылку на соответствующий материал Krebs on Security от сентября 2023 года.

Pink Drainer прекращает работу, похитив более 75 миллионов долларов

Pink Drainer, печально известный дрейнер криптовалютных кошельков, объявил о своём закрытии после того, как накопил более 75 миллионов долларов, эксплуатируя около 20 000 жертв с помощью изощрённого фишинга. В своём заявлении мошенники написали: «Мы достигли своей цели, и теперь, согласно плану, пришло время уйти на покой». (По данным Scam Sniffer со ссылкой на ZachXBT, за один год было похищено более 75 миллионов долларов примерно у 20 000 жертв.) Как признал сам Pink Drainer, его уход вряд ли окажет существенное влияние, поскольку «люди перейдут к другим дрейнерам так же быстро, как перешли к нам». Неужели у мошенников вдруг проснулась совесть? Или за этим стоит что-то иное? Наше чутьё подсказывает второе… Поскольку многие другие дрейнеры по-прежнему активны, актуальный совет остаётся в силе: храните значительные средства в аппаратном кошельке, держите минимум активов в кошельках для повседневного использования и используйте разные аккаунты для разных уровней риска.

Кампания группы Lazarus «Contagious Interview» нацелена на разработчиков блокчейна

Что произошло

Группа Lazarus — продвинутая постоянная угроза (APT), активная с 2007 года и печально известная атакой на Sony Pictures в 2014 году, — всё активнее атакует финансовые учреждения и площадки для работы с виртуальными валютами. Исследователи в области безопасности обнаружили серию атак с использованием ZIP-файлов с вредоносным JavaScript, направленных против разработчиков блокчейна через объявления о вакансиях на таких платформах, как LinkedIn, Upwork и Braintrust. В рамках кампании Lazarus «Contagious Interview» атаки вынуждают кандидатов запускать вредоносный код, похищающий информацию, связанную с криптовалютами, и внедряющий вредоносное ПО.

Как пользователи могут защитить себя

Для защиты от фишинга и атак с использованием вредоносного ПО, подобных тем, что проводят такие группы, как Lazarus, крайне важно проверять легитимность неожиданных предложений о работе с помощью независимых источников и поддерживать надлежащую цифровую гигиену. Это включает использование актуального антивирусного и антивредоносного программного обеспечения, включение многофакторной аутентификации (MFA) для дополнительного уровня защиты, а также осторожное отношение к вложениям электронной почты и ссылкам из неизвестных источников. Кроме того, регулярное обновление всего программного обеспечения необходимо для защиты от уязвимостей, которые могут быть использованы злоумышленниками. Применяя эти практики, пользователи могут значительно укрепить свою защиту от сложных киберугроз и обезопасить конфиденциальную информацию.

Атаки с отравлением адресов набирают обороты: одна жертва потеряла 68 миллионов долларов

Что произошло

Отравление адресов — это мошенническая тактика, при которой злоумышленники манипулируют историей транзакций жертвы, вынуждая её отправить средства на неверный адрес. Одна из недавних жертв потеряла таким образом 68 миллионов долларов. Эта схема мошенничества предполагает создание поддельных токенов, использование «vanity»-адресов, которые очень похожи на адреса цели, и эксплуатацию функции «transferFrom()» стандарта токенов ERC-20. Злоумышленники применяют эти стратегии для проведения переводов токенов с нулевой стоимостью и поддельных переводов токенов, придавая своим мошенническим адресам видимость легитимных. Эти атаки рассчитаны на то, чтобы запутать пользователей и заставить их скопировать неверный адрес для транзакции, что приводит к финансовым потерям. Изощрённость этих методов подчёркивает постоянно развивающийся характер киберугроз в пространстве блокчейна.

Как пользователи могут защитить себя

Для защиты от отравления адресов пользователям следует избегать копирования адресов непосредственно из истории транзакций и вместо этого копировать их из надёжного источника. Использование доменных имён для адресов может повысить их различимость, однако пользователи должны проявлять осторожность в отношении спуфинга доменных имён. Использование функции адресной книги, предоставляемой сервисами кошельков, или добавление приватного тега на таких платформах, как Etherscan, для внесения доверенных адресов в белый список поможет пользователям легко идентифицировать и избегать поддельных адресов.

В отчёте MetaMask о криптобезопасности за май 2024 года освещались запуск MetaMask Smart Transactions, прекращение работы Pink Drainer после похищения десятков миллионов долларов примерно у 20 000 жертв, а также рост числа атак с отравлением адресов, стоивших одной из жертв 68 миллионов долларов. Просматривайте предыдущие выпуски отчёта MetaMask о криптобезопасности, чтобы узнавать об актуальных угрозах, тенденциях и советах по обеспечению безопасности в экосистеме.