Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых необходимо знать.
В ноябре 2023 года произошла серия резонансных инцидентов и атак — как в сети, так и в реальной жизни. Tether заморозил 225 миллионов USDT, связанных с синдикатом торговли людьми, стоящим за глобальными мошенничествами типа «разделка свиньи», тогда как биржа Poloniex Джастина Сана потеряла более 130 миллионов долларов в результате предполагаемой компрометации приватного ключа. В Черногории криптовалютные руководители были похищены и принуждены опустошить кошельки на сумму около 12,5 миллиона долларов. Тейлор Монахан из команды безопасности MetaMask совместно с ZachXBT провела расследование потерь в криптовалюте, связанных со взломом LastPass. Инструмент LavaMoat от MetaMask получил обновление, которое автоматически добавляет SES lockdown в webpack-плагин. Подробный разбор — ниже, но сначала...
Выдающийся учёный в области STEM: Сатьендра Натх Бозе, физик, создавший статистику Бозе–Эйнштейна
Сатьендра Натх Бозе (1894–1974) — индийский физик, чья работа 1924 года заложила основу статистики Бозе–Эйнштейна, а совместно с Альбертом Эйнштейном — теории конденсата Бозе–Эйнштейна. Класс частиц, известных как бозоны, назван в его честь. Его вклад наглядно показывает, как фундаментальная, тщательно выверенная теория способна незаметно лечь в основу технологий и идей, далеко выходящих за рамки своего времени.
MetaMask продолжает борьбу с DNS-хайджекингом с помощью инициативы allowlist и обращается к разработчикам
За последние три года через DNS-хайджекинг и внедрение вредоносного контента было похищено более 125 миллионов долларов. Для реактивного и проактивного противодействия этим угрозам MetaMask внедряет решение на основе allowlist для данных блокчейн-вызовов через Yearn. Разработчики могут ознакомиться с предложением и формой обратной связи и поделиться своим мнением.
Включение оповещений безопасности MetaMask и дополнительных Snaps для усиления защиты кошелька
MetaMask напомнил пользователям о возможности подключить оповещения безопасности на базе Blockaid, перейдя в Настройки > Экспериментальные и активировав функцию проверки транзакций перед подтверждением. Как отметил MetaMask, Transaction Insights Snaps дополняют оповещения Blockaid, добавляя ещё один уровень защиты кошелька.
(Примечание редактора: оповещения безопасности на базе Blockaid теперь встроены непосредственно в MetaMask.)
Эксперты по безопасности продолжают расследование потерь в криптовалюте в результате атаки на LastPass
Тейлор Монахан из команды безопасности MetaMask объединила усилия с ZachXBT для расследования потерь в криптовалюте, связанных со взломом LastPass. Согласно их исследованию, злоумышленники предположительно взламывают похищенные хранилища паролей для получения доступа к сохранённым парольным фразам кошельков, учётным данным и приватным ключам — продолжение закономерности, которую Монахан отслеживает с момента первоначального взлома.
Иэн Уоллис выступил с докладом «Вопросы безопасности в Web3» на ZuConnect
Иэн Уоллис из MetaMask выступил на мероприятии ZuConnect от Zuzalu в Стамбуле, представив презентацию «Вопросы безопасности в Web3», посвящённую компромиссам в области безопасности при разработке и использовании web3-приложений.
Обновление LavaMoat: автоматический SES lockdown в webpack-плагине и конференционный тур
LavaMoat выпустил обновление @lavamoat/webpack с улучшением удобства использования: теперь SES lockdown автоматически добавляется в итоговый dist и предоставляется вспомогательный инструмент с возможностью подключения, который интегрируется с html-webpack-plugin для встраивания в стандартный HTML-шаблон. Обратная связь и поддержка доступны в ветке обсуждений LavaMoat. Команда также продолжила конференционный тур: провела очный воркшоп по защитному программированию и введению в LavaMoat на NodeConfEU, а запись выступления на React Advanced теперь находится в открытом доступе.
Tether замораживает 225 миллионов USDT, связанных с синдикатом мошенничества «разделка свиньи»
OKX, Tether, Chainalysis, ZachXBT и Министерство юстиции США совместно заморозили 225 миллионов USDT, связанных с синдикатом торговли людьми, ответственным за глобальные мошенничества типа «разделка свиньи» — крупнейшая заморозка токенов в истории Tether. Планируется совместная работа с законопослушными пользователями для разморозки их кошельков. Чтобы не стать жертвой мошенничества типа «разделка свиньи» и романтических схем: относитесь с подозрением к предложениям, которые кажутся слишком выгодными; будьте осторожны с незапрошенными обращениями от незнакомцев с просьбой обменять или перевести деньги (включая онлайн-отношения с людьми, которых вы никогда не встречали лично); и в любой момент, когда что-то кажется подозрительным, обращайтесь в поддержку MetaMask. FTC также предоставляет рекомендации по распознаванию романтических мошенничеств.
Poloniex теряет более 130 миллионов долларов и предлагает вознаграждение в 10 миллионов
Централизованная биржа Poloniex Джастина Сана в начале ноября 2023 года подверглась предполагаемой компрометации приватного ключа, потеряв более 130 миллионов долларов — один из крупнейших взломов года. Команда Poloniex сообщила, что установила личность злоумышленника, и предложила вознаграждение в 10 миллионов долларов при условии возврата средств, пригрозив в противном случае привлечением правоохранительных органов. Poloniex также объявила о возмещении средств пострадавшим пользователям. Как подчёркивает этот инцидент, когда ваши активы хранятся на централизованной бирже, вы не контролируете и не защищаете собственные приватные ключи — это делает платформа, а значит, её компрометация может обернуться вашими потерями. Именно поэтому безопасное самостоятельное хранение важно при управлении собственными средствами: при использовании self-custodial кошелька только вы владеете ключами, и никакой взлом биржи не сможет их передать третьим лицам. На практике это означает: выводите токены, которые вам не нужны прямо сейчас, с бирж; храните крупные или более рискованные активы на холодном кошельке, а небольшие повседневные суммы — в программном кошельке, например MetaMask; и помните поговорку, которую этот инцидент снова подтверждает: «Не твои ключи — не твои монеты».
Криптовалютные руководители похищены в Черногории и принуждены опустошить кошельки на ~12,5 миллиона долларов
11 ноября 2023 года CZ из Binance сообщил, что руководители одного из клиентов были заманены в «деловую поездку» в Черногорию, где их похитили и принудили опустошить кошельки, потеряв около 12,5 миллиона долларов. Binance отследил похищенные средства в блокчейне и совместно с партнёрами заморозил кошелёк, на который они были переведены.
Несколько привычек сделают вас менее уязвимой целью. Держите информацию о своих криптоактивах в тайне, делясь ею только с теми, кому это действительно необходимо, — публичность повышает ваш профиль угрозы. Диверсифицируйте хранение в соответствии с характером использования: сочетайте self-custodial кошелёк MetaMask с поддерживаемым аппаратным кошельком для повседневных операций, а для крупных резервов рассмотрите multisig или бумажные кошельки, не привязанные к вашей личности. Обеспечьте географическое расстояние и надлежащую операционную безопасность между держателями ключей multisig, и не берите с собой в поездки доступ к большему объёму средств, чем вам необходимо.
В отчёте MetaMask о безопасности в криптовалюте за ноябрь 2023 года рассматривались: заморозка Tether 225 миллионов USDT, связанных с синдикатом мошенничества «разделка свиньи»; взлом Poloniex на сумму более 130 миллионов долларов и вознаграждение в 10 миллионов за возврат средств; а также похищение руководителей в Черногории, которых принудили опустошить кошельки на сумму около 12,5 миллиона долларов. Просматривайте предыдущие выпуски отчёта MetaMask о безопасности в криптовалюте, чтобы узнавать об актуальных угрозах, тенденциях и советах по безопасности в экосистеме.
