Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Bu ay, OpenSea ve Blockaid ile birlikte halihazırda 4.000'den fazla riskli işlemi engellemiş yeni bir işlem güvenliği özelliği başlattık. Öte yandan, Venom Drainer adlı bir dolandırıcılık hizmeti yaklaşık 15.000 kişiden 27 milyon dolar çaldı; araştırmacılarımız Taylor Monahan ve Harry Denley ise uzun süreli kripto kullanıcılarını hedef alan ayrı bir kampanyayı incelemeye başladı. Etherscan da adres zehirleme dolandırıcılıklarını önlemeye yardımcı olmak amacıyla bir ayarı değiştirdi. Ayrıntıların tamamı aşağıda, ancak önce...
Öne Çıkan STEM Öncüsü: Elektromanyetizmanın ve Elektrokimyanın Öncüsü Michael Faraday
Michael Faraday (1791–1867), büyük ölçüde kendi kendini yetiştirmiş bir İngiliz bilim insanıydı. Yaptığı deneyler, elektromanyetik indüksiyon dahil elektromanyetizmanın ve elektrokimyanın temellerini attı; elektroliz yasaları bugün hâlâ onun adını taşımaktadır. Varsayım yerine dikkatli ve tekrarlanabilir deneyde ısrar etmesi, sağlam güvenlik araştırmalarının dayandığı kanıt öncelikli disiplinin ta kendisidir.
Endo, importHook'u yeniden adlandırıyor; mobil BigInt ve SES uyumluluğu üzerinde çalışıyor
Endo'nun exitModuleImportHook'u importHook olarak yeniden adlandırıldı ve compartment-mapper'a birleştirilmek üzere bekliyor. SES 0.18.3+, daha önce bahsedilen standart dışı AsyncGenerator ve AsyncFunctionPrototype için React Native Android JSC düzeltmesini artık içeriyor. Ekip ayrıca en iyi ilerleme yolunu belirlemek amacıyla MetaMask Mobile kütüphaneleriyle BigInt uyumluluğuna ilişkin kapsamlı bir araştırmayı tamamladı: big-integer shim henüz @ethereumjs/util'i tam olarak desteklemiyor; react-native-v8 tam uyumlu ancak engelleyici bir performans sorunu barındırıyor; Hermes ise çalışan bir BigInt uygulaması sunuyor fakat başka uyumluluk sorunları içeriyor ve SES'in ihtiyaç duyduğu "with" ifadesinden yoksun. React Native 0.71.6 üzerinde SES 0.18.3+ ile ortaya çıkan çeşitli TypeError'lar inceleniyor; bu çalışmalar, ekibi 0.66.5'ten yükseltilen ve React Native 0.72.0-rc1 içeren MetaMask Mobile'ı kilitlemeye bir adım daha yaklaştırıyor.
LavaMoat'ın ScorchWrap eklentisi gerçek bağımlılıkları paketliyor ve Yarn Berry desteği başlıyor
LavaMoat ekibi, Nisan 2023'te React Native London buluşmasında ve Node Congress Berlin'de temsil edildi; Zbigniew Tenerowicz'in bir konuşmasının videosu ise bir sonraki ay yayınlanması bekleniyor. Güvenli paketlemeye yönelik önceki yaklaşım işe yarıyordu; ancak sınırlamaları yeterince belirgin hale gelince ekip, bir yükleyiciden eklentiye geçti ve her modülü sarmak için paketleme sürecinde daha uygun bir aşama buldu. ScorchWrap kod adlı eklenti kavram kanıtı, kod türünden bağımsız olarak (CommonJS, ESM veya derlenmiş TypeScript) gerçek bağımlılıklarla temel bir paket oluşturabiliyor; diğer eklentilerle uyumluluk ve büyük ölçekli testler için ek çalışmalar gerekiyor. Ekip ayrıca SES ile Hermes uyumluluğuna yönelik erken araştırmalara başladı, @lavamoat/allow-scripts için Yarn Berry (3+) desteğini hayata geçirdi ve React Native'in yeni mimarisi ile bu mimarinin kilitlenmesine ilişkin sunumlar hazırlıyor.
MetaMask, OpenSea ve Blockaid, 4.000'den fazla riskli işlemi engelleyen işlem güvenliğini başlatıyor
Nisan 2023'te OpenSea ve Blockaid ile iş birliği yaparak, kullanıcılar onaylamadan önce bilinen dolandırıcılıkları işaretleyen deneysel ve isteğe bağlı bir işlem güvenliği özelliği başlattık; bu özellik halihazırda 4.000'den fazla riskli işlemi engelledi. OpenSea dolandırıcılık engel listesini sağlarken Blockaid kötü amaçlı davranışları gerçek zamanlı olarak analiz ediyor; daha fazla güvenlik çalışması da yolda.
Gal Weizman, Snyk Advisor'da Depolanmış XSS Açığı Buluyor (CVE-2023-1767)
MetaMask Security'den Gal Weizman, araştırmasını "CVE-2023-1767 — Snyk Advisor hizmetindeki Depolanmış XSS, npm paketlerinin sağlık puanının tamamen sahte olarak oluşturulmasına izin verebilir" başlıklı yazısında belgeledi. Özetlemek gerekirse, Snyk Advisor'daki depolanmış bir XSS açığı, kendi kontrolündeki paketlere verilen sağlık puanını sahte olarak oluşturmasına olanak tanıdı; bu sayede "kötü amaçlı" bir paket sağlıklı, popüler ve meşru görünür hale geldi. Bir saldırgan bu açığı, başkalarını gerçek anlamda kötü amaçlı bir npm paketi yüklemeye ikna etmek için kullanabilirdi.
Venom Drainer, Monkey Drainer'ın Yerini Alıyor: Yaklaşık 15.000 Kurbanın 27 Milyon Doları Çalındı
Monkey Drainer artık tarihe karışmış olabilir; ancak Venom Drainer neredeyse bir gecede onun yerini aldı. Scam Sniffer'ın Nisan 2023 başındaki raporuna göre, Venom Drainer dolandırıcılık hizmeti yaklaşık 170 markayı hedef alan yaklaşık 530 kimlik avı sitesi aracılığıyla 15.000 kurbanın 27 milyon dolarını çaldı; yalnızca ilk beş kurban 14 milyon dolar kaybetti.
Çok Zincirli Bir Drainer Kampanyası Uzun Süreli Kripto Kullanıcılarını Hedef Alıyor
Ayın ortasında, MetaMask Security'den Taylor Monahan ve Harry Denley, kripto ekosisteminde yıllardır aktif olan ve çoğu kişisel güvenlik konusunda oldukça deneyimli kullanıcıları hedef alan çok zincirli bir saldırıyı keşfederek kapsamlı bir soruşturma başlattı. Söz konusu Gizli Kurtarma İfadelerinin 2014 ile 2022 yılları arasında oluşturulan anahtarları kontrol ettiği belirlendi ve soruşturma hâlâ devam ediyordu. Monahan şunları paylaştı: "Aralık 2022'den bu yana 11'den fazla zincirde 5.000'den fazla ETH ve token / NFT / coin çalındı. Makul düzeyde güvenli olan arkadaşlarımı ve OG'leri mahvetti. Kimse nasıl olduğunu bilmiyor."
Etherscan, Adres Zehirlenmesini Önlemek İçin Sıfır Değerli Transferleri Gizliyor
CoinDesk, "Etherscan, Olası Dolandırıcılıkları Filtrelemek İçin Blockchain Explorer Ayarlarını Yeniden Yapılandırdı" haberini yayımladı. Explorer artık sıfır değerli token transfer görüntülemelerini varsayılan olarak gizliyor. Bu ayar, adres zehirlenmesini önlemeye yönelik: Saldırganlar, kullanıcıyı daha sonra bir dolandırıcılık adresine para göndermeye yönlendirmek amacıyla cüzdana neredeyse değersiz tokenlar gönderiyor.
Sahte Uniswap "Hack"i Kimlik Avı Dolandırıcılığı, Kullanıcıları Sahte Revoke.cash'e Yönlendiriyor
Dolandırıcılar, #UniswapHack ve #UniswapExploit etiketlerini bot aracılığıyla trend haline getirdi; ardından sahte "hack"i kullanarak kullanıcıları Revoke.cash'in sahte bir versiyonuna yönlendirdi. Hayden Adams ve Evan Van Ness'in 15 Nisan 2023'te belirttiği üzere Uniswap hack'lenmemişti; kullanıcılara sakin kalmaları ve panikle hareket etmekten kaçınmaları hatırlatıldı.
Google Arama Reklamı Kimlik Avı Dolandırıcılığı 4 Milyon Dolar Çaldı
Bir Scam Sniffer raporu, 4 milyon dolarlık hırsızlıkla sonuçlanan Google arama reklamı kimlik avı dolandırıcılığını belgeledi. Google arama reklamı kimlik avı, dolandırıcıların gerçek kripto markalarını taklit eden sponsorlu sonuçlar için ödeme yaptığı ve kullanıcıları cüzdan kimlik bilgilerini ya da fonlarını çalan sahte sitelere yönlendirdiği bir dolandırıcılık türüdür. Bu dolandırıcılıklar tekrarlayan bir tehdit oluşturduğundan URL'leri iki kez kontrol edin, mümkün olduğunda yer imlerini kullanın, sponsorlu arama sonuçlarını atlayın ve maruz kalmayı azaltmak için bir reklam engelleyici kullanmayı düşünün.
MetaMask'ın Nisan 2023 Kripto Güvenlik Raporu; deneysel MetaMask, OpenSea ve Blockaid işlem güvenliği özelliğinin lansmanını, yaklaşık 15.000 kurbanın 27 milyon dolarını çalan Venom Drainer dolandırıcılık hizmetini ve uzun süreli kripto kullanıcılarını hedef alan çok zincirli drainer kampanyasına yönelik devam eden soruşturmayı ele aldı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
