Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В сентябре 2022 года проект Endo реализовал масштабный рефакторинг SES shim, получивший внутреннее название «quadruple backflip», а LavaMoat выпустил обновлённую документацию и новые режимы использования LavaMoat-node. Тем временем компания Consensys провела исследование, посвящённое причинам потери средств пользователями в результате фишинга. Параллельно фишинговая кампания с имитацией CircleCI собирала учётные данные GitHub и в режиме реального времени перехватывала TOTP-коды для обхода двухфакторной аутентификации. Алгоритм самого Twitter продвинул верифицированный мошеннический аккаунт в момент, когда хэштег #EthereumMerge стал трендовым, — это была часть кампании, в которой использовались 36 скомпрометированных верифицированных аккаунтов для имитации Виталика Бутерина и Ethereum Foundation. Подробный разбор — ниже, но сначала...
Выдающийся пионер STEM: Кевин Митник — основоположник социальной инженерии и консультант по безопасности
Кевин Митник (1963–2023) наглядно показал, что наиболее эффективным вектором атаки является не код, а человеческая психология. Некогда входивший в список самых разыскиваемых преступников ФБР за взломы десятков крупных корпораций, Митник впоследствии стал доверенным консультантом по безопасности для компаний из списка Fortune 500 и правительственных структур, а также занял должность Chief Hacking Officer в компании KnowBe4, специализирующейся на тренингах по информационной безопасности. Его работа по формализации социальной инженерии как самостоятельной дисциплины непосредственно повлияла на то, как отрасль выстраивает защиту от фишинговых кампаний, описанных в этом отчёте.
Исследование Consensys: почему владельцы криптокошельков теряют средства из-за фишинга
Consensys опубликовала исследование, посвящённое причинам потери средств пользователями в результате фишинга. В рамках исследования было изучено 70 обращений в службу поддержки и проведены интервью с 7 пользователями, потерявшими средства. Интервью проводились по стандартизированному опроснику, охватывающему понимание секретных фраз восстановления и опыт столкновения с фишингом. Ключевой вывод: пользователи применяют сигналы доверия из мира web2 — верифицированные значки, количество подписчиков, изображения профилей — для оценки объектов web3, однако эти сигналы не отражают реальной надёжности в среде некастодиального кошелька, где транзакции необратимы.
Фишинговая кампания с имитацией CircleCI атакует пользователей GitHub и обходит двухфакторную аутентификацию
16 сентября 2022 года служба безопасности GitHub выявила фишинговую кампанию, имитирующую CircleCI, с целью кражи учётных данных пользователей и кодов двухфакторной аутентификации. В фишинговых письмах сообщалось об истечении срока действия сессии CircleCI или о необходимости принять обновлённые условия использования, а пользователей перенаправляли на поддельные домены, в том числе circle-ci[.]com и emails-circleci[.]com. Фишинговый сайт в режиме реального времени передавал TOTP-коды злоумышленнику и на GitHub, обходя тем самым двухфакторную аутентификацию на основе временных кодов. Несмотря на то что сам GitHub не был скомпрометирован, кампания затронула несколько организаций-жертв. Этот инцидент наглядно демонстрирует уязвимость TOTP-аутентификации к атакам с перехватом в реальном времени — аппаратные ключи безопасности (FIDO2/WebAuthn) по-прежнему остаются наиболее надёжной защитой.
14 сентября 2022 года, когда хэштег #EthereumMerge стал трендовым в Twitter накануне перехода 15 сентября 2022 года, алгоритм платформы вывел в продвигаемый контент мошеннический аккаунт рядом с легитимными материалами о Merge. В рамках более масштабной кампании использовались как минимум 36 скомпрометированных верифицированных аккаунтов Twitter для имитации Виталика Бутерина и Ethereum Foundation. С их помощью продвигались фиктивные схемы «раздачи 50 000 ETH», направлявшие жертв на фишинговые сайты с предложением внести депозит в ETH под обещание удвоения суммы.
Рефакторинг SES shim в Endo разделяет обработку областей видимости с помощью «quadruple backflip»
Проект Endo представил масштабный рефакторинг эвалюатора SES shim с переходом на многоуровневый стек областей видимости, получивший внутреннее название «quadruple backflip». Изменение устраняет проблему утечки прокси области видимости и разделяет различные аспекты обработки глобальной области видимости на отдельные уровни. Дополнительное преимущество: после внедрения рефакторинга LavaMoat сможет использовать немодифицированный SES shim, что устраняет необходимость в специфических для LavaMoat патчах к shim.
LavaMoat выпускает обновлённую документацию и новые режимы использования lavamoat-node
Проект MetaMask LavaMoat выпустил обновлённую документацию по всему инструментарию. Среди новых возможностей lavamoat-node — вспомогательный инструмент для удобного запуска команд из node_modules/.bin и программный API, упрощающие интеграцию защиты цепочки поставок LavaMoat в существующие сборочные пайплайны.
Отчёт MetaMask о безопасности в криптопространстве за сентябрь 2022 года охватывает фишинговую кампанию с имитацией CircleCI, обходившую двухфакторную аутентификацию GitHub посредством перехвата TOTP в реальном времени, а также случай продвижения алгоритмом Twitter верифицированных мошеннических аккаунтов во время трендового события Ethereum Merge. Ознакомьтесь с предыдущими выпусками отчёта MetaMask о безопасности в криптопространстве, чтобы узнать об актуальных угрозах, тенденциях и советах по обеспечению безопасности в экосистеме.
