Her ay MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Aralık 2022'de LavaMoat, bin confusion azaltma önlemini deneysel bir bayrak arkasında yayımladı; Endo'nun compartment-mapper bundler'ı ilk CommonJS kavram kanıtını geçti ve Node.js Güvenlik Çalışma Grubu, LavaMoat'ın paket başına yaklaşımını tamamlayan süreç düzeyinde bir İzin Modeli önerdi. Tehdit cephesinde ise Kuzey Kore'nin Lazarus Grubu, sahte kripto uygulamaları aracılığıyla yeni bir AppleJeus kötü amaçlı yazılım varyantı yaydı ve bir aylık süren bir sosyal mühendislik dolandırıcılığı, 1,07 milyon dolar değerinde 14 Bored Ape'i boşalttı. Yılı kapatırken HackerOne bug bounty programı 100 araştırmacıyı geçti, PhishFort 19.571 MetaMask markalı kimlik avı saldırısını takip etti ve MetaMask ile Laconic, MobyMask kimlik avı önleme girişimini başlattı. Ayrıntılı döküm aşağıda, ancak önce...
Öne çıkan STEM öncüsü: Hedy Lamarr, frekans atlamalı yayılı spektrumun ortak mucidi
Hedy Lamarr (1914–2000), besteci George Antheil ile birlikte 1942'de radyo güdümlü torpido sinyallerinin bozulmasını önlemek amacıyla frekans atlamasını kullanan bir "Gizli İletişim Sistemi" patenti aldı. Bir sinyalin hızla değişen frekanslar arasında yayılması fikri, Wi-Fi, Bluetooth ve GPS'te kullanılan modern yayılı spektrum teknolojisinin temelini oluşturdu; bu kablosuz protokoller, öz-gözetimli cüzdan kullanıcılarını blok zinciri ağlarına bağlamaktadır. Lamarr, 2014 yılında Ulusal Mucitler Onur Listesi'ne alındı.
LavaMoat, bin confusion saldırısı azaltma önlemini deneysel bir bayrak arkasında yayımladı
LavaMoat, hem npm hem de Yarn 1 projeleri için npm bin script confusion saldırılarına karşı koruma sağlayan --experimental-bins bayrağıyla @lavamoat/allow-scripts'i yayımladı. Bu azaltma önlemi, kötü amaçlı paketlerin npm'nin bin alanı bağlantı davranışı aracılığıyla meşru CLI komutlarını ele geçirmesine karşı koruma sağlıyor.
Endo, compartment-mapper bundler'ını CommonJS desteğiyle geliştiriyor
Endo projesinde paketleme çalışmaları yoğunlaştı. Bir dizi uyumluluk düzeltmesi, compartment-mapper bundler'ı gerçek projeler için kullanılabilir hale getirmeye yaklaştırdı ve CommonJS desteğinin ilk kavram kanıtı testleri geçti.
Node.js Güvenlik Çalışma Grubu, LavaMoat ile uyumlu bir İzin Modeli öneriyor
Node.js Güvenlik Çalışma Grubu, mevcut Policy sistemini tamamlamak amacıyla bir İzin Modeli için ilk öneriyi hazırladı. Amaç, LavaMoat'ınkine benzer: yarı güvenilir üçüncü taraf koduna açık sistem erişimini azaltmak. Önerilen yaklaşım, sistem erişimini süreç düzeyinde yapılandırma açısından Deno'nun İzinler Sistemi'ne benzerken, LavaMoat bir süreç içinde paket düzeyinde erişimi yapılandırarak daha ayrıntılı izolasyon sağlıyor. Node.js İzin Modeli olgunlaşıp kullanıma sunulduğunda, daha güçlü tedarik zinciri koruması için LavaMoat ile birlikte kullanılabilir olması gerekiyor.
Lazarus Grubu, sahte kripto uygulamaları aracılığıyla AppleJeus kötü amaçlı yazılımını dağıtıyor
Kuzey Kore'nin Lazarus Grubu, sahte kripto para uygulamaları ve web siteleri aracılığıyla yeni bir AppleJeus kötü amaçlı yazılım varyantı dağıtırken tespit edildi; şüphelenmeyen bir kullanıcı bu kötü amaçlı yazılımı farkında olmadan indirebiliyordu. Faaliyet, Volexity tarafından raporlandı ve 5 Aralık 2022'de The Hacker News tarafından haberleştirildi.
Sosyal mühendislik dolandırıcılığı, 1,07 milyon dolar değerinde 14 Bored Ape çaldı
Güvenlik analisti Serpent, 17 Aralık 2022'de paylaştığı analizde, tek bir koleksiyoncudan 852 ETH'den (1,07 milyon dolar) fazla değerinde 14 BAYC NFT'yi çalan bir aylık sosyal mühendislik dolandırıcılığını belgeledi. Sosyal mühendislik, yıl boyunca kötü niyetli aktörler için en etkili araçlardan biri olmayı sürdürdü; bunun gibi karmaşık dolandırıcılıklar dakikalar yerine haftalar içinde gerçekleşti.
HackerOne bug bounty programı 2022'de 100'den fazla araştırmacıdan oluşan bir ağ kurdu
MetaMask, HackerOne bug bounty programı aracılığıyla yıl boyunca pek çok güvenlik açığının tespit edilmesine katkıda bulunan 100'den fazla benzersiz araştırmacıyla ilişkiler geliştirdi ve bu sayede kullanıcılar için daha güvenli bir deneyime katkı sağladı. Program, ödül peşinde koşan yeni katılımcıları kabul etmeye devam etti.
PhishFort, 2022'de 19.571 MetaMask markalı kimlik avı saldırısı tespit etti
Yıl boyunca PhishFort, MetaMask markasını kullanan 19.571 saldırı tespit etti ve son 30 gün içinde 1.873 kampanyayı başarıyla kaldırdı. MetaMask ayrıca hem tarayıcı uzantısında hem de mobil uygulamada, MetaMask taklitçiliğini ve diğer web3 marka sahteciliğini kapsayan bilinen kimlik avı engelleme girişimleri yürüttü. Engelleme listesi Consensys/MetaMask tarafından sahiplenilip yönetilmekte ve günde birden fazla kez güncellenmektedir.
MetaMask ve Laconic, MobyMask kimlik avı önleme girişimini başlattı
MetaMask, Laconic'in yardımıyla geliştirilen ve kimlik avı bildirimcilerini kaynak almak için dinamik bir güven ağı kullanan, kullanıcıları kimlik avına karşı proaktif biçimde korumaya yönelik yeni bir girişim olan MobyMask'i tanıttı.
MetaMask'ın Aralık 2022 Kripto Güvenlik Raporu; Lazarus Grubu'nun sahte kripto uygulamaları aracılığıyla dağıttığı yeni AppleJeus kötü amaçlı yazılımını, 1,07 milyon dolar değerinde 14 Bored Ape'i çalan bir aylık sosyal mühendislik dolandırıcılığını ve LavaMoat'ın bin confusion azaltma önlemini, PhishFort'un kimlik avı kaldırma işlemlerini ve MobyMask kimlik avı önleme girişiminin lansmanını kapsayan yıl sonu özetini ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
