Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Temmuz 2023'te MetaMask Güvenlik ekibi, DeFi Güvenlik Zirvesi'nde DeFi olaylarını kataloglamaya yönelik bir STIX 2.1 standardı olan Menpo'yu sunurken, Gal Weizman LavaMoat'ın scuttling ve Snow özelliklerinin tedarik zinciri güvenliğini nasıl güçlendirdiğini anlatan üç bölümlük X serisini tamamladı; LavaMoat ise ScorchWrap webpack eklentisini ve EIP-4361 çalışmalarını ilerletti. Tehdit cephesinde ise bu ayki rapor; token onaylarını kötüye kullanan pig butchering (shāz hū pán) ve sahte madencilik dolandırıcılıklarını, airdrop yoluyla dağıtılan gas token'larını kullanan yeni bir sahte onay dolandırıcılığını ve kripto ile güvenlik geliştiricilerini hedef alarak npm kötü amaçlı yazılımı yayan bir Lazarus Group sosyal mühendislik kampanyasını gün yüzüne çıkardı. Ayrıntılı döküm aşağıda yer alıyor, ancak önce...
Öne Çıkan STEM Öncüsü: NASA Matematikçisi ve Havacılık Teknoloji Uzmanı Josephine Jue
Josephine Jue, NASA'da görev yapmış bir matematikçi ve havacılık teknoloji uzmanıdır. NASA'nın "gizli figürleri" arasında anılan Jue, NASA'nın İnsanlı Uzay Aracı Merkezi'nde programcı olarak çalışan ilk Asyalı Amerikalı kadınlardan biri olarak Apollo programının yazılımına katkıda bulunmuştur. Erken dönem görev-kritik yazılımlardan talep ettiği hassasiyet ve güvenilirlik, güvenilir sistemlerin bugün hâlâ dayandığı standarttır.
MetaMask, DeFi Güvenlik Zirvesi'nde STIX 2.1 DeFi Olay Veritabanı Menpo'yu Tanıttı
DeFi Güvenlik Zirvesi 2023'te Herman Junge, MetaMask güvenlik ekibinin STIX 2.1 kullanarak DeFi olaylarının kataloglanmasını standartlaştırmak amacıyla geliştirdiği proje olan Menpo'yu tanıttı. Junge'ın fikir babası olduğu bu girişim, paylaşılan tehdit istihbaratı ortamını zenginleştirmek için güvenlik analistleri ve araştırmacılar arasında kurumlar arası iş birliğini teşvik etmektedir.
Gal Weizman, LavaMoat'ın Scuttling ve Snow Özelliklerine İlişkin Üç Bölümlük X Serisini Tamamladı
Bir önceki ayın blog yazısının devamı niteliğinde olan bu çalışmada Gal Weizman, LavaMoat'ın scuttling ve Snow özelliklerinin MetaMask'ın tedarik zinciri güvenliğini nasıl güçlendirdiğini ve diğer uygulamalar için de aynı etkiyi nasıl sağlayabileceğini açıklayan üç bölümlük X serisini tamamladı. Scuttling, uygulamanın window nesnesini enjekte edilen kodlar için neredeyse kullanılamaz hale getirerek tarayıcı tabanlı saldırılar için yaygın bir kapıyı kapatmaktadır.
LavaMoat, ScorchWrap'i Güncelledi, Snow'u CSP ile Test Etti ve EIP-4361'e Katkıda Bulundu
ScorchWrap webpack eklentisi artık bağımlılıklardaki paketleri tanımlamak ve içe aktarma sırasında politikayı uygulamak için @lavamoat/aa kullanıyor; buffer ve crypto gibi webpack tarafından taklit edilen yerleşik modüller üzerinde ise ek çalışmalar gerekiyor. Ekip ayrıca Snow'u İçerik Güvenlik Politikası (CSP) önerileriyle desteklemeye çalıştı; ancak iframe srcdoc üzerindeki CSP'nin yetersiz kaldığını tespit etti. Sonraki adımlar, güvenliği artırmak amacıyla metin dizisi girişi kabul eden DOM API'lerinin kısıtlanmasını içeriyor. LavaMoat, EIP-4361'de daha açık şema işleme konusundaki tartışmalara katkıda bulundu ve bir kaynak doğrulama algoritması önerdi; ayrıca Endo'daki exitModules hook'unu nihayet birleştirdi. Bunun yanı sıra Zibi, DefCon'un AppSec Village etkinliğinde bir Savunmacı Kodlama atölyesine liderlik ediyor.
2022-2023 Pig Butchering (shāz hū pán) Dolandırıcılıkları Dune Dashboard'unda Haritalandı
Kötü niyetli kişilerin kurbanları yatırım getirisi vaadi ile sahte bir güven ortamına çektiği uzun soluklu dolandırıcılıklar giderek artıyor. Çin kökenli olan ve çoğunlukla romantik bir boyut içeren bu planlar, shāz hū pán yani "domuz kesimi" olarak biliniyor; zira dolandırıcı, kurbanı "kesmeden" önce onu "semirtmektedir." MetaMask Security'den Taylor Monahan, kendi ifadesiyle "bu dolandırıcılıkların boyutunu doğrudan blok zincirinden çekilen somut veriler ve insanların kendi ağzından anlattığı hikâyeler aracılığıyla ortaya koymaya çalışan" bir Dune dashboard'u derledi. Monahan, "bu dolandırıcıların, meşru herhangi bir kripto kuruluşundan daha fazla insanı kripto dünyasına dahil ettiğini; üstelik bunu yalnızca paralarını çalmak için yaptığını" vurguladı.
Sahte Madencilik Dolandırıcılıkları Token Onaylarını İstismar Ediyor: Consensys'in Kapsamlı Analizi
Joel Willmore'un kaleme aldığı Consensys blog makalesi "Sahte 'Madencilik' Dolandırıcılıkları: Yeni Bir Kılıkta Tanıdık Bir Düşman," USDT onay madenciliği ve likidite madenciliği dolandırıcılıklarının nasıl işlediğini, bunların nasıl tanınacağını ve token onaylarını anlayıp koruyarak güvende kalmanın yollarını ele alıyor. Makalede, dolandırıcılıkları takip eden Harry Denley'in Dune dashboard'u da yer alıyor. Daha özlü bir genel bakış için MetaMask, sahte madencilik kuponu dolandırıcılıklarına ilişkin bir destek makalesi de yayımladı.
Revoke.cash, Airdrop Yoluyla Dağıtılan Gas Token'larını Kullanan Sahte Onay Dolandırıcılığı Konusunda Uyardı
Revoke.cash, kullanıcıları iptal edilmesi gereken şüpheli onayları varmış gibi kandıran airdrop yoluyla dağıtılan "gas token'larını" içeren yeni bir sahte onay dolandırıcılığına dikkat çekti. Dolandırıcılar, sahte token'ları bir iptal işlemi sırasında büyük miktarda gas token basmak üzere programlıyor; bu token'lar daha sonra saldırganlara satılmak üzere gönderiliyor. Cüzdan açılır penceresinde yalnızca yüksek bir ücret göründüğünden ve cüzdandan çıkan bir fon görünmediğinden, hırsızlığın fark edilmesi oldukça güç. Buna karşılık Revoke.cash, gas ücretinin aşırı yüksek olduğu durumlarda onay iptalini devre dışı bırakan bir kontrol ekledi ve beklenmedik, çok yüksek gas ücretli işlemlerin görmezden gelinmesini tavsiye ediyor.
Lazarus Group, Geliştiricileri Hedef Alan Sosyal Mühendislik Kampanyasıyla npm Kötü Amaçlı Yazılımı Yayıyor
Socket'in raporuna göre Lazarus Group, ele geçirilmiş hesaplar ve kötü amaçlı yazılım yüklü npm paketleri kullanarak kripto para ve siber güvenlik sektörlerindeki geliştiricileri hedef alan sofistike bir sosyal mühendislik kampanyası başlattı. Rapor, saldırı zincirinin nasıl işlediğini, bundan nasıl korunulacağını açıklıyor ve bilinen kötü amaçlı npm paketlerini listeliyor.
Immunefi, Web3'teki En Yaygın 10 Güvenlik Açığını Listeledi
Immunefi, web3'teki en yaygın 10 güvenlik açığının bir dökümünü yayımladı. Rapor, güvenli ve sağlam akıllı sözleşmeler geliştirmek için geliştiricilerin ve denetçilerin göz önünde bulundurması gereken akıllı sözleşme açıklarını ele alıyor.
Taylor Monahan Cüzdan Güvenliği İpuçlarını Paylaştı: Hardware Wallet'lar, Kâğıt Yedekler ve Merkeziyetsiz Depolama
Taylor Monahan, bir web3 cüzdanı kullanırken fonları güvende tutmak için pratik ipuçları paylaştı: hardware wallet kullanımı, Gizli Kurtarma İfadesini kâğıda yazarak saklama gibi düşük teknolojili en iyi uygulamalar ve fonların depolandığı yerleri merkeziyetsizleştirme.
Chainalysis Yıl Ortası Güncellemesi: Fidye Yazılımları Artarken Kripto Suçları %65 Düştü
Chainalysis, yıl ortası kripto suç güncellemesini yayımladı. Rapora göre hedefli fidye yazılımlarında artış yaşanırken kripto ile ilgili suçlar genel olarak yaklaşık %65 oranında düştü.
MetaMask'ın Temmuz 2023 Kripto Güvenlik Raporu; token onaylarını kötüye kullanan pig butchering ve sahte madencilik dolandırıcılıklarını, airdrop yoluyla dağıtılan gas token'larını kullanan yeni bir sahte onay dolandırıcılığını ve kripto ile güvenlik geliştiricilerini hedef alarak npm kötü amaçlı yazılımı yayan bir Lazarus Group sosyal mühendislik kampanyasını kapsamlı biçimde inceledi. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
