Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Temmuz 2022'de LavaMoat projesi, prototip kirliliği ve çapraz alan JavaScript saldırılarını engellemek amacıyla Securely, Snow ve Across adlı üç deneysel tarayıcı savunma aracı yayımlarken, Endo projesi uzun süredir devam eden CommonJS destek yol haritasını kapattı. Tehdit cephesinde ise MetaMask güvenlik araştırmacısı harry.eth, 73.399 Uniswap likidite sağlayıcısını yaklaşık 8 milyon dolar dolandıran sahte bir $UNI airdrop'unu ve gizlenmiş Solidity sözleşmeleri aracılığıyla yatırılan ETH'yi boşaltan sahte MEV frontrunning botlarını tanıtan bir YouTube dolandırıcılığını tespit etti. MetaMask ayrıca Discord, Twitter ve Telegram'daki NFT dolandırıcılıklarından korunmaya yönelik bir rehber yayımladı ve HackerOne hata ödül programı rapor kabul etmeye devam etti. Tüm ayrıntılar aşağıda, ancak önce...
Öne Çıkan STEM Öncüsü: Kriptografik hashleme ve Merkle ağaçlarının mucidi Ralph Merkle
Ralph Merkle, 1970'lerde Whitfield Diffie ve Martin Hellman ile birlikte açık anahtarlı kriptografiyi icat etti ve UC Berkeley'de lisans öğrencisiyken bağımsız olarak Merkle'ın Bulmacaları'nı geliştirdi. 1979 yılında Stanford'da tamamladığı doktora tezi, Merkle ağaçlarını (hash ağaçları) ve Merkle-Damgard yapısını tanıttı; bu yapı, blok zinciri doğrulamasında, dijital imzalarda ve öz-gözetimli cüzdan yazılımlarının bütünlük kontrollerinde kullanılan hash fonksiyonlarının temelini oluşturmaktadır. Merkle, 2010 yılında IEEE Richard W. Hamming Madalyası'na layık görüldü ve 2011 yılında Ulusal Mucitler Onur Listesi'ne alındı.
LavaMoat, tarayıcı düzeyinde JavaScript savunması için Securely, Snow ve Across'u kullanıma sunuyor
MetaMask'ın açık kaynaklı LavaMoat projesi, tarayıcı tabanlı uygulamaları JavaScript tedarik zinciri saldırılarına karşı korumak amacıyla tasarlanmış 3 deneysel araç yayımladı:
Securely, aynı yürütme bağlamında çalışan üçüncü taraf kodların prototip kirliliği veya tarayıcı içi adam saldırısı (MITB) teknikleriyle müdahale etmiş olması durumunda bile yerel tarayıcı API'lerine (fetch gibi) özel erişimi korur. Snow, bir web uygulaması içinde yeni oluşturulan her iframe veya realm'i yakalar ve üst düzey pencerede uygulanan güvenlik politikasını bunlara da uygulayarak saldırganların müdahale edilmemiş API referanslarına ulaşmak için yeni iframe'ler oluşturma tekniğini engeller. Snow, Securely üzerine inşa edilmiştir. Across, aynı DOM'a bağlı iki betik arasında kaynak URL'leriyle tanımlanan güvenli bir iletişim kanalı oluşturur; bunun için sunucu taraflı bir aracıya gerek yoktur. Across, kanalı korumak için hem Securely hem de Snow'u kullanır.
Her üç araç da deneysel olarak yayımlandı. Securely, Snow ve Across için demolar mevcuttur.
Endo, son düzeltmelerle CommonJS destek yol haritasını kapatıyor
Endo projesi, CommonJS modül desteğine yönelik son düzeltmeleri birleştirdi ve 2022'nin başından bu yana açık olan CommonJS destek takip sorununu (endojs/endo #1055) kapattı. TC39 modül spesifikasyonu üzerindeki süregelen çalışmalar, sanallaştırılmış modül yükleyicilerinin belirli getter ve setter gereksinimleriyle CommonJS modüllerini içe aktarmayı destekleyip desteklememesi gerektiği konusunda soru işaretleri doğurdu. Bu alandaki ileri araştırmalar, Endo'nun CommonJS desteğinde ek değişikliklere yol açabilir ya da onu spesifikasyon için önceki sanat olarak konumlandırabilir.
Sahte $UNI airdrop'u 73.399 Uniswap LP adresini dolandırıyor
11 Temmuz 2022'de güvenlik araştırmacımız harry.eth, Uniswap'ta likidite sağlamış 73.399 adrese kötü amaçlı bir token göndererek $UNI airdrop'unu taklit eden bir kimlik avı kampanyasını tespit etti. Saldırı, 0xcf39b7793512f03f2893c16459fd72e65d2ed00c adresinden kaynaklandı ve tespit edilmeden yaklaşık iki saat önce başladı. Token ile etkileşime giren kullanıcılardan bir setApprovalForAll() işlemini imzalamaları istendi; bu işlem saldırgana LP pozisyonlarını boşaltma yetkisi verdi. Kampanya sonuç olarak mağdurlardan yaklaşık 8 milyon dolar çekti. Güvenlik açığı Uniswap protokolünün kendisinde değildi.
YouTube MEV frontrunning bot eğitimleri kripto çalmak için kullanılıyor
Temmuz 2022'de güvenlik araştırmacımız harry.eth, 26.400 aboneli bir kanalda 97.000 görüntülemeye ulaşan ve YouTube'da dolaşan bir dolandırıcılık eğitimini de tespit etti. Genellikle "Uniswap'ta günde $XXX nasıl kazanılır" başlığını taşıyan bu videolar, kullanıcılara MEV frontrunning botu olarak tanımlanan bir Solidity sözleşmesi dağıtmalarını öğretti. Dağıtılan sözleşme, fonlandığında yatırılan ETH'yi doğrudan saldırganın cüzdanına aktaran gizlenmiş kod içeriyordu. Dolandırıcılık, güvenilir görünmek için meşru MEV terminolojisinden yararlandı.
MetaMask, NFT dolandırıcılıklarından korunma rehberi yayımladı
NFT dolandırıcılıklarından nasıl korunulacağına dair bir destek makalesi yayımladık. Makale, dolandırıcıların NFT sahiplerini avlamak için NFT topluluk kanallarını istismar ettiği Discord, Twitter ve Telegram'daki yaygın saldırı vektörlerini ele alıyor. Makalede kötü amaçlı mint bağlantıları, sahte airdrop duyuruları, ele geçirilmiş topluluk yöneticisi hesapları ve DM tabanlı sosyal mühendislik konuları işleniyor. Temel öneriler arasında URL'lerin resmi proje siteleriyle doğrulanması, topluluk Discord'larında DM'lerin devre dışı bırakılması ve cüzdanda beklenmedik şekilde beliren NFT'lerin potansiyel kimlik avı vektörleri olarak değerlendirilmesi yer alıyor.
HackerOne hata ödül programı güncellemesi
HackerOne'daki hata ödül programımız, MetaMask Extension (GitHub deposu) ve MetaMask Mobile (GitHub deposu) kapsamında rapor kabul etmeye devam etti.
MetaMask'ın Temmuz 2022 Kripto Güvenlik Raporu; LavaMoat'ın prototip kirliliği ve çapraz alan JavaScript saldırılarını hedef alan üç deneysel tarayıcı savunma aracının—Securely, Snow ve Across—kullanıma sunulmasını, 73.000'den fazla Uniswap LP adresini yaklaşık 8 milyon dolar dolandıran sahte bir $UNI airdrop'unu ve yatırılan ETH'yi boşaltmak için gizlenmiş Solidity sözleşmeleri kullanan YouTube tabanlı MEV bot eğitim dolandırıcılıklarını kapsadı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
