Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних криптоатаках и новых угрозах, о которых вам необходимо знать.
В сентябре 2023 года MetaMask запустил открытую бету Snaps, открыв возможности для настраиваемой безопасности без разрешений в кошельке. Мы также поделились обучающими материалами по самостоятельному хранению активов, созданными в партнёрстве с Ledger, и провели пространство State of Security совместно с Wallet Guard. На стороне инструментов LavaMoat ускорил выпуск релизов, добавил поддержку Node 20 и подготовил ScorchWrap к бете. Кроме того, Гал Вейцман и Збигнев Тенерович из MetaMask выступили с докладами о защищённом JavaScript и браузерных realms на мероприятии W3C «Secure the Web Forward». Что касается угроз, Тейлор Монахан связала кражи на сумму около 35 миллионов долларов с Secret Recovery Phrases, хранившимися в LastPass, а мы подробно описали, как атака с подменой SIM-карты группировки Pink Drainer скомпрометировала аккаунт Виталика Бутерина. Полный разбор — ниже, но сначала...
Выдающийся пионер STEM: Луис фон Ан, соизобретатель CAPTCHA
Луис фон Ан — гватемальский учёный в области информатики, соизобретатель CAPTCHA и reCAPTCHA — тестов типа «вызов-ответ», позволяющих отличить людей от ботов и защитить веб-сервисы от автоматизированных злоупотреблений, — а также пионер концепции человеческих вычислений. Впоследствии он стал сооснователем Duolingo. Его работы лежат в основе повседневной веб-безопасности: они позволяют дёшево и в масштабе подтверждать, что на другом конце находится реальный человек.
MetaMask запускает открытую бету Snaps с security Snaps в каталоге
12 сентября 2023 года MetaMask запустил открытую бету Snaps, расширив возможности настраиваемой безопасности в кошельке с учётом предпочтений и потребностей пользователей. Snaps — это функции и возможности, созданные сторонними разработчиками, которые пользователи могут устанавливать непосредственно в свой кошелёк (metamask.com/snaps). Открытая бета ориентирована на опытных пользователей и ранних последователей как отправная точка. Несколько Snaps с фокусом на безопасность уже доступны в проверенном каталоге Snaps. Каждый Snap в официальном каталоге проходит проверку командой MetaMask и внешними аудиторами. В сопроводительном треде Кристиан Монтойя из MetaMask Snaps поделился базовыми советами по оптимизации безопасности MetaMask и выделил Snaps в бете, которые помогают защитить пользователей от рискованных транзакций.
MetaMask и Ledger публикуют урок по безопасности при самостоятельном хранении активов
MetaMask совместно с Ledger опубликовали урок по безопасности в web3, охватывающий ответственность, связанную с самостоятельным хранением активов, способы избежать распространённых векторов атак и важность использования аппаратного кошелька. Для продвижения урока старший исследователь безопасности MetaMask Майлс Нолан присоединился к коллегам из MetaMask и Ledger в качестве соведущего прямого X Space 20 сентября 2023 года.
MetaMask и Wallet Guard проводят пространство State of Security за Q3
MetaMask и Wallet Guard провели совместный X Space о состоянии безопасности: Ohm, Martin и Michael из Wallet Guard присоединились к Марко Менотци (MetaMask Security) и Кристиану Монтойе (MetaMask Snaps), чтобы обсудить безопасность устройств, социальную инженерию, утечки данных, подмену SIM-карт, мошеннические объявления и MetaMask Snaps. Wallet Guard также опубликовал письменный пересказ записи.
Полуфинал Ambassador World Cup от HackerOne: поиск уязвимостей в MetaMask, Shopify и Tinder
27 сентября 2023 года HackerOne дал старт полуфиналу своего Ambassador World Cup: 4 команды занялись поиском уязвимостей для партнёров, включая MetaMask, Shopify и Tinder, помогая им защитить свои продукты и обезопасить клиентов.
Список разрешённых calldata призван сократить потери от DNS-хайджекинга
За последние 3 года через DNS-хайджекинг и внедрение вредоносного контента было похищено более 125 миллионов долларов. MetaMask внедряет решение, разработанное командой Yearn: список разрешённых calldata в блокчейне, который не позволяет злоумышленникам причинять вред пользователям в случае DNS-хайджекинга. Команда по работе с разработчиками MetaMask связывается с третьими сторонами, чьё участие будет иметь ключевое значение для инициативы; подробности изложены в публичном документе, который ссылается на репозиторий proof-of-concept, а также на короткое поясняющее видео с участием Майлса Нолана.
Обновление LavaMoat: более быстрые релизы, поддержка Node 20, бета ScorchWrap и блокировка мобильной версии
Улучшения в процессе выпуска релизов сделали его тривиальным, поэтому более высокая частота релизов теперь является нормой. Изменение структуры тестов позволило запустить их на Node 20, который теперь официально поддерживается. Плагин ScorchWrap готов к бете и будет анонсирован на двух удалённых мероприятиях для разработчиков; бета-программа проходит в обсуждениях LavaMoat. Lockdown в MetaMask Mobile теперь работает и должен быть выпущен в ближайшее время.
Гал Вейцман и Збигнев Тенерович выступают на «Secure the Web Forward» от W3C
На мероприятии W3C «Secure the Web Forward» Збигнев Тенерович выступил с докладом о применении защищённого JavaScript для обеспечения безопасности цепочки поставок в целях проактивной защиты, а Гал Вейцман рассказал о том, как JavaScript realms используются для обхода существующих инструментов безопасности веб-приложений. В связанной статье о «проблеме одного источника» Вейцман — мейнтейнер проекта Snow JS — описывает отсутствие контроля приложений над новыми realms, возникающими в рамках их собственного источника, объясняет, почему текущие попытки решить эту проблему недостаточны, и предлагает, как браузерное нативное решение могло бы обеспечить безопасное и производительное исправление; статья была представлена рабочей группе по безопасности W3C в этом месяце.
Secret Recovery Phrases, хранившиеся в LastPass, связаны с кражами на ~35 миллионов долларов
Серия краж на крупные суммы — около 35 миллионов долларов — может быть связана с утечкой, раскрытой LastPass почти годом ранее. Тейлор Монахан из MetaMask отслеживала улики с декабря 2022 года, отмечая, что жертвы «действительно все в разумной мере защищены» и «глубоко интегрированы в эту экосистему» — среди них сотрудники авторитетных криптоорганизаций, венчурные капиталисты, а также люди, создававшие DeFi-протоколы, разворачивавшие контракты и запускавшие полные ноды. Главная общая черта, которую она обнаружила: жертвы в какой-то момент использовали LastPass для хранения своих Secret Recovery Phrases. Её совет был прямолинеен: не держите все активы под одним ключом или фразой годами — разделите активы, приобретите аппаратный кошелёк и мигрируйте прямо сейчас. Подробнее — на Krebs on Security.
ERC-7512 предлагает стандарт для аудитов смарт-контрактов в блокчейне
Предложение ERC-7512 направлено на представление аудитов смарт-контрактов в блокчейне. Позволяя пользователям и приложениям верифицировать аудиты, проведённые авторитетными аудиторами, стандарт создаст систему репутации аудиторов в блокчейне и поможет сформировать более надёжную среду для работы со смарт-контрактами.
«Gone Phishing» от Rekt и атака Pink Drainer на Виталика Бутерина
Материал Rekt «Gone Phishing» охватывает череду мошенничеств: скомпрометированные фронтенды, «разделку свиньи», ошибку в блокчейне на восьмизначную сумму и взломанные аккаунты публичных персон и даже государственных органов — включая резонансную атаку с подменой SIM-карты на Виталика Бутерина. Подробнее о группировке, стоящей за этим, Boring Security задокументировал методы Pink Drainer после того, как аккаунт Бутерина был скомпрометирован 10 сентября 2023 года.
Отчёт MetaMask о криптобезопасности за сентябрь 2023 года охватил запуск открытой беты MetaMask Snaps, кражи на сумму около 35 миллионов долларов, которые Тейлор Монахан связала с Secret Recovery Phrases, хранившимися в LastPass, а также атаку Pink Drainer с подменой SIM-карты, скомпрометировавшую аккаунт Виталика Бутерина. Просматривайте предыдущие выпуски отчёта MetaMask о криптобезопасности, чтобы узнавать об угрозах, тенденциях и советах по безопасности в экосистеме.
