Каждый месяц директор по безопасности MetaMask Люкер рассказывает о последних атаках на криптовалюты и новых угрозах, о которых вам необходимо знать.
В сентябре 2025 года мы снова убедились, что даже, казалось бы, незначительные атаки могут иметь каскадный эффект, последствия которого возрастают в геометрической прогрессии. Одного скомпрометированного мейнтейнера оказалось достаточно, чтобы заразить 18 npm-пакетов, которые скачивают 2 миллиарда раз в неделю. Мошенники нанимали профессиональных актёров озвучивания для дипфейк-звонков от имени руководителей криптокомпаний. А новый скрытный вредонос почти месяц обходил антивирусы, опустошая браузерные кошельки. Были и хорошие новости. Благодаря изолированной среде LavaMoat npm-атака была незаметно нейтрализована для пользователей MetaMask. Кроме того, Ethereum Foundation продолжила работу по обеспечению безопасности сети на уровне триллионных активов. Подробности — ниже, но сначала...
Выдающийся деятель STEM: Эллен Очоа — первая латиноамериканка-астронавт и директор Космического центра Джонсона
Эллен Очоа стала первой латиноамериканкой, побывавшей в космосе на борту шаттла Discovery, а впоследствии — первой латиноамериканкой на посту директора Космического центра Джонсона NASA. Управление сложными системами с высокими ставками, где малейший сбой влечёт катастрофические последствия, — это дисциплина, хорошо знакомая специалистам по криптобезопасности.
Социальный вход в MetaMask упрощает восстановление кошелька с помощью учётных данных Apple и Google
Управление секретными фразами восстановления (SRP) и их надёжное хранение давно считаются одним из самых сложных аспектов самостоятельного хранения активов. Потеряете ключи — потеряете криптовалюту. MetaMask теперь делает создание, резервное копирование и восстановление кошельков проще, чем когда-либо, используя учётные данные Apple или Google в сочетании с надёжным паролем.
Для повышения безопасности SRP шифруются и разбиваются на фрагменты, а дополнительный ключ шифрования распределяется по разным местам хранения. Восстановить SRP в открытом виде может только владелец кошелька, поэтому крайне важно хранить пароль так же тщательно, как и саму SRP. Подробнее об этой новой функции читайте на странице поддержки MetaMask.
Атака на цепочку поставок NPM компрометирует 18 JavaScript-пакетов с 2 миллиардами еженедельных загрузок
В начале сентября произошла одна из крупнейших атак на цепочку поставок на сегодняшний день: были скомпрометированы как минимум 18 популярных JavaScript NPM-пакетов после того, как мейнтейнер под псевдонимом Qix стал жертвой фишинговой кампании. Один или несколько злоумышленников смогли внедрить вредоносный код и опубликовать заражённые версии пакетов, которые скачивают более 2 миллиардов раз в неделю. Это позволило им манипулировать взаимодействием с криптокошельками и перенаправлять средства в течение нескольких часов до нейтрализации атаки.
Впоследствии выяснилось, что внедрённый вредонос вёл себя как червь и был способен автоматически распространяться на другие проекты, которыми управлял Qix. Хотя потери могли быть катастрофическими, до удаления вредоносных версий злоумышленникам удалось похитить лишь несколько сотен долларов. Этот инцидент наглядно показал, насколько разрушительной может быть единая точка отказа в экосистеме открытого исходного кода.
Изолированная среда LavaMoat защищает пользователей MetaMask от вредоносного ПО в цепочке поставок
К счастью, LavaMoat от MetaMask защищает от подобных масштабных атак на цепочку поставок, применяя средства контроля во время выполнения к зависимостям и ограничивая их взаимодействие с окружением — этот процесс называется изолированной средой (sandboxing). Даже если вредоносный пакет установлен, LavaMoat не позволяет ему похищать секреты, вмешиваться в работу wallet API или выполнять несанкционированные сетевые операции. Как выразился Збышек Тенерович из MetaMask: «Вы тоже можете запускать вредоносное ПО из NPM... то есть без последствий».
Виталик Бутерин предостерегает от централизованного управления ИИ и предлагает открытый аудит
Программный инженер Эйто Миямура указал на риски для персональных данных пользователей после последнего обновления ChatGPT от OpenAI, что побудило Виталика Бутерина высказаться по этой теме. Бутерин отверг идею опоры на централизованный ИИ как жизнеспособное решение для управления, указав, что злоумышленники «БУДУТ размещать джейлбрейк вместе с командой "отдай все деньги" везде, где только смогут», если ИИ доверят чувствительные функции вроде распределения средств.
Вместо этого Бутерин предложил модель «информационных финансов» (info finance), при которой ИИ-системы открыты для сторонних аудитов и случайных проверок со стороны жюри из людей. Этот подход соответствует принципам децентрализации, ставящей во главу угла прозрачность и участие сообщества как более надёжный путь вперёд. Позиция сооснователя Ethereum подчёркивает растущую дискуссию о том, как наилучшим образом сбалансировать инновации, безопасность и подотчётность в сфере ИИ.
Персонализированные голосовые фишинговые атаки нацелены на американских руководителей криптокомпаний с использованием дипфейк-имитаторов
В рамках последних усилий по атакам на руководителей американских криптокомпаний мошенники платят до 20 000 долларов в месяц за использование профессиональных имитаторов голоса в изощрённых атаках с голосовым фишингом, или вишингом. Исследователи из GK8 обнаружили, что команды имитаторов набираются через подпольные форумы и получают поддержку в виде специально подобранных датасетов, технологий дипфейка и разветвлённой инфраструктуры, разработанной для обхода средств защиты.
Эти телефонные атаки носят крайне персонализированный характер и направлены против лиц с привилегированным доступом, что отражает переход от массового фишинга к точечной социальной инженерии. Исследователь GK8 Таня Беккер предупреждает, что руководителям следует «исходить из того, что их персональные данные уже были раскрыты», и подчёркивает, что «высокоценные транзакции не должны подтверждаться одним человеком».
Kiln выводит валидаторы Ethereum после того, как SwissBorg потерял 40 миллионов долларов в результате взлома API
Стейкинговая платформа Kiln объявила, что из соображений предосторожности выведет все свои валидаторы Ethereum после того, как её партнёр SwissBorg пострадал от взлома безопасности API. Блокчейн-следователь ZachXBT сообщил, что SwissBorg потерял около 40 миллионов долларов в SOL. Kiln подчеркнула, что средства пользователей в безопасности и никакие другие активы Ethereum не пострадали, назвав этот шаг превентивным.
На момент объявления о решении Kiln оценила, что процесс займёт от 10 до 42 дней на каждый валидатор, а вывод средств потребует дополнительных 9 дней. Тем временем более 2,5 миллиона ETH скопилось в очереди на выход из валидаторов сети, что привело к значительным задержкам.
Ethereum Foundation запускает инициативу Trillion Dollar Security
Если вы пропустили: в конце августа Ethereum Foundation представила инициативу по укреплению безопасности сети под названием «Trillion Dollar Security» («Безопасность на триллион долларов»). Заявленная цель программы — создать реальность, в которой миллиарды пользователей будут спокойно хранить не менее 1000 долларов в сети, а институциональные игроки и правительства смогут без опасений управлять активами триллионного масштаба в приложениях Ethereum. План разбит на три этапа: картирование уязвимостей в экосистеме, внедрение исправлений и улучшений совместно с партнёрами, а также установление чётких стандартов безопасности.
Программу поддержат основатель Security Alliance samczsun, сооснователь и директор Sigma Prime Мехди Зеруали, а также сооснователь Etherealize Зак Оброн. Кроме того, EF призывает экосистему высказаться о том, в каких аспектах безопасности Ethereum необходимо совершенствоваться.
Конкурс по аудиту обновления Fusaka с призовым фондом 2 миллиона долларов при поддержке Gnosis и Lido
Несколькими неделями позже EF объявила о запуске конкурса с призовым фондом 2 миллиона долларов, в котором исследователи приглашаются к аудиту предстоящего обновления Fusaka. Конкурс проходит с 15 сентября по 13 октября в тестовой сети Sherlock и проводится при поддержке Gnosis и Lido, внёсших 100 000 и 25 000 долларов соответственно. Этот подход подчёркивает коллективную заинтересованность децентрализованной экосистемы в будущем сети.
Вредонос ModStealer обходит антивирусы в течение месяца, опустошая криптовалютные браузерные кошельки
Что произошло
Исследователи безопасности обнаружили новый вредонос под названием ModStealer, которому почти месяц удавалось обходить антивирусное ПО, похищая данные криптовалютных кошельков у пользователей Windows, Linux и Mac. Злоумышленники распространяют его через поддельные объявления о вакансиях, нацеленные на разработчиков. Попав в систему, вредонос ищет расширения браузерных кошельков и учётные данные, после чего незаметно отправляет всё найденное на серверы злоумышленников. На Mac он даже настраивает себя на автозапуск при старте системы, маскируясь под системный вспомогательный процесс. Эксперты по безопасности предупреждают, что это серьёзная угроза для владельцев криптовалют: похищенные приватные ключи и сид-фразы открывают прямой доступ к средствам пользователей, а способность обходить инструменты обнаружения делает вредонос реальной угрозой для всей криптосферы.
Как пользователям оставаться в безопасности
Лучшие практики включают постоянную бдительность в отношении посещаемых сайтов, особенно при поиске объявлений о вакансиях или криптовалютного контента. Всегда обращайтесь к проверенным источникам для подтверждения подлинности. К любым незапрошенным предложениям следует относиться с максимальной осторожностью и, скорее всего, полностью их игнорировать. Кроме того, хранение крупнейших криптоактивов в холодном хранилище, например на аппаратном кошельке, — один из лучших способов защитить свои средства.
Кампания по криптоджекингу через TOR нацелена на неправильно настроенные Docker API для установки майнеров XMRig
Что произошло
Кампания по криптоджекингу нацелена на неправильно настроенные Docker API для установки майнеров криптовалюты XMRig; злоумышленники используют сеть TOR для сокрытия следов. Вредонос распространяется, сканируя другие открытые экземпляры Docker, и содержит спящий код для атак на порты Telnet и удалённой отладки Chrome, что указывает на возможное создание злоумышленниками более крупного ботнета.
Как пользователям оставаться в безопасности
Исследователи подчёркивают, что организациям необходимо ограничить доступ к API, правильно сегментировать сети и изменить учётные данные по умолчанию для защиты от подобных атак.
Количество криптовзломов выросло на 13% в августе: похищено 173 миллиона долларов, из которых 101 миллион — через фишинг
Что произошло
По данным CertiK, количество криптовзломов выросло более чем на 13% с июля по август: злоумышленники похитили около 173 миллионов долларов. Только на фишинговые мошенничества пришлось 101 миллион долларов из этой суммы. Наиболее крупными инцидентами месяца стали масштабная фишинговая атака на 91 миллион долларов и взлом BTC Turk на 53 миллиона долларов.
Это часть тенденции, которую мы наблюдаем с июня, и эксперты прогнозируют дальнейший ежемесячный рост потерь. Несмотря на развитие средств защиты, базовые фишинговые схемы по-прежнему остаются невероятно эффективными. Один из генеральных директоров заметил, что организованные преступные группировки фактически превратились в «технологические стартапы», специализирующиеся на мошенничестве как услуге.
Как пользователям оставаться в безопасности
Атаки с использованием социальной инженерии особенно эффективны, поскольку человеческий фактор представляет собой наиболее сложную для защиты поверхность атаки. Всегда знайте, с кем вы общаетесь, и с осторожностью относитесь к любым незапрошенным сообщениям. Никогда не переходите по случайным ссылкам в электронных письмах или текстовых сообщениях. Если у вас возникло малейшее подозрение, что вы общаетесь не с тем человеком, найдите способ связаться с ним напрямую другим способом — например, позвоните по телефону на его место работы или подтвердите личность через другой надёжный метод.
В сентябрьском отчёте MetaMask о криптобезопасности за 2025 год рассматриваются: крупная атака на цепочку поставок npm, скомпрометировавшая 18 пакетов; персонализированный голосовой фишинг, нацеленный на руководителей криптокомпаний; всплеск криптовзломов в августе 2025 года — похищено 173 миллиона долларов, из которых 101 миллион через фишинг; а также инициатива Ethereum Foundation «Trillion Dollar Security». Просматривайте предыдущие выпуски отчёта MetaMask о криптобезопасности для получения информации об угрозах, тенденциях и советах по безопасности в экосистеме.
