Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Temmuz 2024'te MetaMask'ın HackerOne hata ödül programı, HackerOne'ın kurucularından övgü aldı; Security Lab'den Zbigniew Tenerowicz ve Gal Weizman ise LavaMoat, LavaDome ve DOM izolasyonunu x33fcon, BlueHatIL ve OWASP'a taşıdı. Bunların yanı sıra MetaMask'ın Realms Initialization Control önerisi kuluçka sürecine girdi. Tehdit cephesinde ise WazirX, bir multisig açığı nedeniyle 230 milyon dolardan fazlasını kaybetti; bir Squarespace güvenlik açığı sektör genelinde alan adı ele geçirme saldırılarına zemin hazırladı, Ethereum.org posta listesinin ihlali 35.000 kullanıcıyı bir draining saldırısına maruz bıraktı ve FBI, artan kripto iş dolandırıcılıkları konusunda uyarıda bulundu. Ayrıntılı döküm aşağıda yer alıyor, ancak önce...
Öne çıkan STEM öncüsü: Nobel ödüllü monoklonal antikor öncüsü César Milstein
César Milstein (1927–2002), monoklonal antikor üretme tekniğini geliştirdiği için 1984 Nobel Fizyoloji veya Tıp Ödülü'nü paylaşan Arjantinli bir biyokimyacıdır. Antikorlar, bağışıklık sisteminin hassas araçlarıdır; belirli bir tehdidi tanıyıp etkisiz hale getirmek üzere tasarlanmışlardır. Milstein'ın çalışmaları, bu antikorların güvenilir biçimde ve büyük ölçekte üretilmesini mümkün kıldı. Hedefli ve tekrarlanabilir tehdit tespiti fikri, modern güvenlik araçlarının tam olarak ulaşmaya çalıştığı şeydir.
MetaMask'ın HackerOne hata ödül programı kuruculardan övgü aldı
MetaMask'ın hata ödül programı, HackerOne'ın her iki kurucusundan da —Jobert Abma ve Michiel Prins— yeni politika iyileştirmelerini hızla benimsediği için takdir gördü. Bu iyileştirmeler arasında MetaMask'ın tüm varlıklarında etkiye dayalı raporları ödüllendiren Open Scope ile bir rapor alındıktan sonra bir ay içinde ödeme yapılmasını taahhüt eden Fast Payment yer alıyor. Önceki 90 gün içinde program 120 rapor aldı, gönderimden ödüle kadar ortalama 3 gün 15 saat geçti ve bugüne kadar toplam 266.000 dolar ödeme yapıldı. MetaMask, pkkr, imnarendrabhati, p1security, Nicocha30, T41nk, René Kroka, renniepak, hackerOnTwoWheels ve redyetihacks dahil araştırmacı topluluğuna teşekkür etti ve bir güvenlik açığı bulan herkesi bunu HackerOne programı aracılığıyla bildirmeye davet ediyor.
Zbigniew Tenerowicz, x33fcon'da savunmacı kodlama üzerine konuştu
MetaMask Security Lab'den Zbigniew Tenerowicz yine sahnede! Haziran 2024'te ZB, "kırmızının maviyle buluştuğu" BT güvenlik profesyonelleri buluşması x33fcon'a katılarak bir lightning talk yaptı ve savunmacı kodlama üzerine bir atölye çalışması düzenledi. Bu etkinlik, LavaMoat'ın temel odak noktası olan tedarik zinciri güvenliğini yaygınlaştırma çabalarının en son adımı niteliğinde. Hem konuşması hem de bir röportajı şu anda izlenebilir durumda.
Gal Weizman, BlueHatIL ve OWASP'ta DOM izolasyonunu sundu; Realms Initialization Control kuluçka sürecine girdi
MetaMask Security Lab'den Gal Weizman, Microsoft'un BlueHatIL etkinliğinde ve OWASP Lizbon Global AppSec konferansında DOM izolasyonu ile LavaDome projesi üzerine bir sunum yaptı. Sunumda, merkezi ve merkezi olmayan mimarilerin güvenliğini sağlama arasındaki farkın web uygulama güvenliğinin sınırlarını nasıl zorladığını inceledi. Bunun yanı sıra, MetaMask'ın sunduğu Realms Initialization Control önerisinin Web Incubator Community Group tarafından kuluçka için onaylandığını bildirdi. Bu önerinin hayata geçirilmesi, Snow projesinin başlangıçta çözmeyi hedeflediği "aynı kaynak endişesi"ne yönelik yerel, tarayıcı düzeyinde bir çözüm sunacak; bu da karmaşık bir istemci tarafı web güvenliği sorununu çözmeye yönelik önemli bir adım olacak.
DPKR grubu Lazarus'un kripto dünyasına yönelik tehdidi ve TraderTraitor kampanyası
MetaMask Security'den Taylor Monahan, Kuzey Kore bağlantılı gelişmiş kalıcı tehdit (APT) grubu Lazarus'un üyelerinden kaynaklanan TraderTraitor adlı yeni bir kampanyayı inceledi. TraderTraitor, kripto şirketlerinin çalışanlarını hedef almak ve milyonlarca dolar çalmak için spear phishing yöntemini kullanıyor. Monahan, kripto sektöründe herhangi bir kademede çalışan herkesin kendini risk altında görmesi gerektiği uyarısında bulunuyor. Tavsiyeleri şunlar: tek hata noktalarını ortadan kaldırın, donanım cüzdanları ve donanım MFA kullanın, yabancılardan gelen kodları çalıştırmayın veya derlemeyin, iletişim için kullandığınız cihazları kripto erişimi için kullandığınız cihazlardan ayırın, başkalarının hatalarından ders çıkarın, çevrenizdekileri bilinçlendirin ve şüpheci olmaya devam edin.
Dolandırıcılar dolandırıldı: Pink Drainer, adres zehirleme saldırısıyla 30.000 dolar kaybetti
İronik bir gelişmeyle, kötü şöhretiyle tanınan Pink Drainer dolandırıcılık grubu bir adres zehirleme dolandırıcılığının kurbanı oldu ve meşru bir adrese çok benzeyen sahte bir adrese para göndermesi sonucunda yaklaşık 30.000 dolar değerinde ether kaybetti. Kripto para uyum firması MistTrack olayı raporladı ve dolandırıcıların dolandırılmasının ironisine dikkat çekti. Pink Drainer, kripto cüzdanlarından milyonlarca dolar çaldıktan sonra yalnızca Mayıs 2024'te emekliliğini ilan etmişti.
Ethereum.org üçüncü taraf posta listesi ihlali 35.000 kullanıcıyı draining saldırısına maruz bıraktı
2 Temmuz 2024'te Ethereum, posta listesinin ele geçirildiğini bildirdi; bu durum 35.000'den fazla kullanıcıyı bir kimlik avı girişimine maruz bıraktı. Saldırgan, Lido DAO ile iş birliği yapıldığını ima eden bir e-posta göndererek alıcıları stake edilmiş Ethereum'da yüksek getiri vaat eden ancak aslında bir drainer olan bir siteye yönlendirdi. Ethereum güvenlik ekibi saldırıyı hızla engelledi, topluluğu uyardı ve kötü amaçlı bağlantıyı engelleme listelerine bildirdi; herhangi bir kayıp bildirilmedi ve Ethereum, güvenliği artırmak amacıyla e-posta hizmetlerini taşımaya başladı.
Squarespace güvenlik açığı alan adı ele geçirme saldırılarına zemin hazırladı
Ne oldu?
Araştırmacılar, Squarespace'in alan adı kayıt sürecindeki zayıf güvenlik varsayılanlarının saldırganların alan adlarını ele geçirmesine olanak tanıdığını keşfetti. Yetersiz doğrulama ve uygun kimlik doğrulaması olmadan alan adı ayarlarını değiştirme imkânı, saldırganların kontrolü ele geçirmesine, trafiği yönlendirmesine ve hassas bilgileri çalmasına yol açtı. Squarespace, olay sonrası yayımladığı raporda OAuth ile ilgili zayıflıkları neden olarak gösterdi, sorunu çözdüğünü belirtti ve ek bir ihlal yaşanmadığını açıkladı. Sektör genelinde koordineli bir müdahalenin ardından samczsun, MetaMask Security'den Taylor Monahan, AndrewMohawk ve diğerleriyle birlikte bir retrospektif yayımladı.
Kullanıcılar kendilerini nasıl koruyabilir?
Kullanıcılar, iki faktörlü kimlik doğrulamayı (2FA) etkinleştirerek ve gereksiz katkıda bulunanları kaldırarak Squarespace hesaplarını güçlendirmeli; ayrıca 2FA için donanım token'larını destekleyen kayıt kuruluşlarını tercih etmeyi düşünmelidir.
WazirX, bir multisig açığı nedeniyle 230 milyon dolardan fazlasını kaybetti
Hindistan merkezli kripto borsası ve işlem platformu WazirX, çoklu imza (multisig) cüzdanlarından birine yönelik bir siber saldırıya uğrayarak 230 milyon dolardan fazlasını kaybetti. Liminal'ın dijital varlık saklama hizmeti aracılığıyla yönetilen cüzdan, WazirX'ten üç ve Liminal'dan bir olmak üzere birden fazla imzacı gerektiriyordu; ancak saldırı, Liminal'ın arayüzünün gösterdiği ile işlemin gerçek içeriği arasındaki tutarsızlıktan yararlandı ve büyük olasılıkla kontrolü saldırgana devretmek için yükü değiştirdi. Bu olay, saklama çözümlerinin fonların çekilmesini kontrol ettiğini, oysa yalnızca kullanıcının kendi saklama cüzdanlarındaki fonları kontrol ettiğini bir kez daha hatırlatıyor. WazirX, çalınan fonların tespit edilmesine, takip edilmesine ve geri kazanılmasına yardımcı olmak için 23 milyon dolara kadar değerinde bir ödül duyurdu.
FBI, artan kripto iş dolandırıcılıkları konusunda uyardı
Haziran 2024'te Federal Soruşturma Bürosu (FBI), dolandırıcıların meşru işverenler gibi davranarak kurbanları sahte iş fırsatlarına çektiği kripto iş dolandırıcılıklarına ilişkin bir kamuoyu uyarısı yayımladı. Bu ay ajans, bu iş dolandırıcılıklarının nasıl işlediğine ve nelere dikkat edilmesi gerektiğine daha ayrıntılı bir bakış sundu. Bu dolandırıcılıklar genellikle kurbanları kripto para hesapları açmaya veya fon transfer etmeye ikna etmeyi ve nihayetinde paralarını çalmayı içeriyor. FBI, iş arayanların istenmeyen iş tekliflerine karşı temkinli olmalarını, işverenlerin meşruiyetini doğrulamalarını ve doğrulanmamış kaynaklarla kişisel veya finansal bilgi paylaşmaktan kaçınmalarını tavsiye ediyor. Bu tür dolandırıcılıkların mağdurları, olayları FBI'ın İnternet Suçları Şikayet Merkezi'ne (IC3) bildirmeye teşvik ediliyor. İş arayanları hedef alan dolandırıcılıkların ötesinde, işletmeler de mülakat sürecindeki saldırılara ve içeriden gelen tehditlere karşı dikkatli olmalı; bu risk, Kuzey Koreli operatiflerin uzaktan çalışan BT personeli olarak sızmaya çalıştığına ve Mac'leri hedef alan sahte iş görüşmesi kötü amaçlı yazılımlarına ilişkin raporlarla da gündeme geldi.
MetaMask'ın Temmuz 2024 Kripto Güvenlik Raporu; HackerOne hata ödül programına yönelik takdiri, 230 milyon dolardan fazla kayba yol açan WazirX multisig açığını ve bir Squarespace alan adı ele geçirme güvenlik açığı, bir Ethereum.org posta listesi ihlali ile artan kripto iş dolandırıcılıklarını kapsayan bir dizi tehdidi ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
