Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В ноябре 2022 года LavaMoat выпустил Snow и глобальное «заглушение» (global scuttling) в продакшн для всех пользователей, включая расширение MetaMask Extension, а также четырежды перевёрнутую сборку SES, управление доменами Node.js и первоначальную защиту от атак подмены бинарных файлов. Тем временем Endo создал прототип универсального бандлера, а команда Threat Intelligence приступила к формированию базы данных DeFi-инцидентов на основе STIX. На стороне сообщества MetaMask поделился докладом Kumavis с Devcon о безопасности цепочки поставок JavaScript, Gal Weizman обосновал необходимость интеграции Snow в расширение, а в Twitter Space обсудили, как Snaps могут укрепить самостоятельное хранение активов на фоне краха FTX. Месяц завершился поучительными историями: фишинг через Google Ads и Google Sites, вредоносное расширение Chrome, распространявшееся через поддельные обновления Flash Player, и мошенничество с торговыми ботами в Telegram. Подробный разбор — ниже, но сначала...
Выдающийся деятель науки и техники: Дафна Орам — пионер электронной музыки и сооснователь BBC Radiophonic Workshop
Дафна Орам (1925–2003) стала сооснователем BBC Radiophonic Workshop в 1958 году и разработала технику, которую назвала Oramics: она рисовала фигуры прямо на плёнке для синтеза звука. Её работа по преобразованию нарисованных от руки паттернов в точные сигналы предвосхитила тот тип мышления «сигналами и паттернами», который лежит в основе верификации данных в программном обеспечении кошельков с самостоятельным хранением. На протяжении всей карьеры Орам настаивала на том, что высокотехнологичные инструменты могут быть выразительными и доступными для неспециалистов.
LavaMoat выпускает Snow и глобальное «заглушение» для MetaMask Extension
Ноябрь 2022 года ознаменовался значимым продакшн-релизом LavaMoat. Snow (рекурсивная безопасность iframe и realm) и глобальное «заглушение» (удаление исходных глобальных ссылок после захвата на основе политик) были выпущены для всех пользователей LavaMoat, включая MetaMask Extension. В LavaMoat для предстоящего релиза была внедрена «четырежды перевёрнутая» версия SES с рядом мощных обновлений, в том числе управление доменами в Node.js — примечательно, поскольку некоторые пакеты по-прежнему используют давно устаревший модуль domain из Node. Первоначальная версия защиты от атак подмены бинарных файлов была добавлена в @lavamoat/allow-scripts и будет доступна за флагом в следующем релизе. Также разрабатывался новый CLI для настройки всех инструментов LavaMoat в репозитории с помощью нескольких направляющих вопросов.
Endo создаёт прототип универсального бандлера на основе compartment mapper
Проект Endo экспериментировал с использованием Endo для создания бандлера, разработав прототип универсального бандлера поверх своего compartment mapper. Эта работа повлекла за собой ряд новых функций и улучшений в кодовой базе Endo, включая исправление ошибки в обработке именованных реэкспортов.
Команда Threat Intelligence MetaMask создаёт базу данных DeFi-инцидентов на основе STIX
Команда Threat Intelligence MetaMask приступила к созданию стандартизированного хранилища данных об инцидентах в сфере децентрализованных финансов (DeFi). Записи используют язык STIX (Structured Threat Information Expression) и призваны стать источником достоверной информации, предоставляющим аналитику как специалистам, так и энтузиастам, отслеживающим инциденты в области безопасности DeFi.
Сооснователь MetaMask Kumavis представляет доклад о безопасности цепочки поставок JavaScript на Devcon 2022
Kumavis из MetaMask выступил на Devcon 2022 с докладом The Attacker is Inside («Атакующий внутри»), посвящённым безопасности цепочки поставок JavaScript. Он объяснил, как работают атаки на цепочку поставок программного обеспечения в экосистемах JavaScript и криптовалют — где каждый проект строится на общем открытом исходном коде, — а также рассказал о том, как бесплатный инструмент с открытым исходным кодом LavaMoat от MetaMask защищает пользователей и их кошельки.
Gal Weizman обосновывает необходимость интеграции Snow в MetaMask Extension
Участник LavaMoat Gal Weizman опубликовал статью «Integrating Snow into MetaMask», в которой аргументирует необходимость внедрения технологии безопасности браузера Snow непосредственно в расширение MetaMask для браузера. Snow обеспечивает рекурсивное владение realm во всех iframe, закрывая вектор атаки, при котором вновь созданные realm браузера используются для получения доступа к незащищённым ссылкам API и обхода политик, применённых к окну верхнего уровня.
На фоне краха FTX в Twitter Space, организованном MetaMask, собрались Кристиан Монтойя (MetaMask), Зен Йонг (Web3Auth) и Чираг Титийя (Biconomy), чтобы обсудить, как беспрепятственные инновации через MetaMask Snaps могут помочь пользователям взять контроль над собственными средствами и надёжнее защитить свои Secret Recovery Phrases. По словам Зена Йонга, событие с FTX «могло бы оказать меньшее влияние на криптовалюты в целом, если бы больше людей практиковало самостоятельное хранение». Монтойя отметил, что цель состоит в том, чтобы позволить разработчикам встраивать новые варианты управления аккаунтами в MetaMask — предоставляя новым пользователям более простые и безопасные решения, снижающие риск потери ключа или компрометации аккаунта.
Google Ads и Google Sites используются для размещения фишинговых страниц криптокошельков
Фишинговые кампании продолжали злоупотреблять инфраструктурой Google для атак на пользователей криптокошельков. The Verge ранее описывал, как фишеры используют Google Ads, чтобы обманом завладеть криптовалютой пользователей; также следует обращать внимание на URL-адреса, начинающиеся с «sites.google.». Как сообщает Mashable, мошенники также успешно создают фишинговые сайты на Google Sites, копируя дизайн доверенных ресурсов, чтобы вынудить пользователей вводить конфиденциальные данные.
Вредоносное расширение Chrome распространяется через поддельные обновления Adobe Flash Player
BleepingComputer сообщил о вредоносном расширении Chrome, предоставляющем злоумышленникам удалённый контроль над браузером. Расширение недоступно в официальном Chrome Web Store и распространяется через альтернативные каналы — например, через сайты, предлагающие поддельные обновления Adobe Flash Player. Вывод для пользователей: не устанавливайте расширения для браузера или «обновления» из неофициальных источников.
Мошенничество с торговыми ботами в Telegram ставит под угрозу ключи кошельков
В ноябре 2022 года в социальных сетях распространились предупреждения о вредоносной активности в Telegram и торговых ботах. Пользователь Twitter Big D сообщил о трояне, распространяющемся через Telegram и способном загружаться на телефон через легко упускаемую из виду автоматическую настройку, тогда как другой анализ показал, как приватные ключи пользователей могут быть раскрыты внутри торговых ботов. Использование торговых ботов растёт, однако предоставление им доступа к кошельку может поставить средства под угрозу.
Отчёт MetaMask о криптобезопасности за ноябрь 2022 года охватывает продакшн-релиз LavaMoat со Snow и глобальным «заглушением» для MetaMask Extension, Twitter Space о том, как MetaMask Snaps могут укрепить самостоятельное хранение активов на фоне краха FTX, а также поучительные истории о фишинге через Google Ads и Google Sites, вредоносном расширении Chrome и мошенничестве с торговыми ботами в Telegram. Просматривайте предыдущие выпуски MetaMask Crypto Security Report, чтобы узнавать об актуальных угрозах, тенденциях и советах по безопасности в экосистеме.
