Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Haziran 2024'te Consensys, MetaMask'ın dolandırıcılık ve drainer tespitini güçlendirmek amacıyla Wallet Guard'ı satın aldı; MetaMask daha fazla şeffaflık ve kontrol için gizlilik politikasını güncelledi ve LavaMoat yeni bir web sitesi yayına aldı. Security Alliance ayrıca whitehat araştırmacılar için bir hukuki savunma fonu açtı. Tehdit cephesinde ise Kuzey Kore bağlantılı APT gruplarıyla ilişkili iş dolandırıcılıkları kripto çalışanlarını hedef almaya devam etti, bir kullanıcı imza phishing saldırısında 11 milyon dolar kaybetti, bir CoinGecko e-posta satıcısı ihlali on binlerce phishing e-postasının gönderilmesine yol açtı ve kötü amaçlı Aggr Chrome uzantısı borsa çerezlerini toplayarak 1 milyon dolardan fazla çaldı. Ayrıntılı döküm aşağıda, ancak önce...
Öne çıkan STEM öncüsü: Glial hücrelerin rolünü ortaya koyan nörobiolog Ben Barres
Ben Barres (1954–2017), araştırmaları glial hücrelerin sinir sistemindeki nöronlarla nasıl etkileşime girdiğini ortaya koymada belirleyici rol oynayan Amerikalı bir nörobiyologdu. Çalışmaları, beynin uzun süredir göz ardı edilen "destek" hücrelerinin aslında beynin işleyişi ve kendini savunması açısından ne denli kritik olduğunu kanıtladı. Aynı zamanda ABD Ulusal Bilimler Akademisi'ne seçilen ilk açıkça transgender bilim insanı ve bilimde eşitliğin güçlü bir savunucusuydu. Çalışmaları, arka planda sessizce koruyucu işlev gören sistemlerin çoğu zaman en önemli olanlar olduğunu hatırlatıyor.
MetaMask, daha fazla şeffaflık ve kullanıcıların verileri üzerinde daha fazla kontrol için gizlilik politikasını güncelliyor
Gizlilik ve güvenlik birbirini tamamlar; MetaMask kullanıcıların gizliliğini son derece ciddiye alır. Bu ay, bilinçli onay anlayışıyla MetaMask, kullanıcıları güvende tutmak için neler yaptığımızı bildirmek ve kişisel verileri üzerinde daha fazla şeffaflık ve kontrol sağlamak amacıyla güncellenmiş bir politika yayımladı. Duyurumuzu ve tam bildirimi okuyabilir, Gizlilik ve Güvenlik kaynaklarımıza göz atabilirsiniz.
MetaMask, IP adresinizi yalnızca bazı Hizmetlerimiz için gerekli olduğu durumlarda (MetaMask ayarlarınıza bağlı olarak) MetaMask kullanıcılarına mümkün olan en iyi deneyimi sunmak amacıyla geçici olarak işleyebilir. Bu, örneğin DDoS saldırılarının önlenmesini kapsar.
Özel anahtarlarınızı toplamıyoruz.
Kişisel Bilgilerinizi satmıyoruz.
Kişisel Bilgileri, size Hizmetleri ve mükemmel bir kullanıcı deneyimi sunmak için zorunlu olmadıkça toplamıyor veya saklamıyoruz.
Finansal ödeme veya bankacılık bilgilerini toplamıyoruz. Ancak on-ramp veya off-ramp özelliklerimizi kullandığınızda bu hizmetler, söz konusu bilgileri üçüncü taraf sağlayıcılara iletmenizi gerektirebilir.
Consensys, MetaMask güvenliğini artırmak için Wallet Guard'ı satın aldı
Harika Wallet Guard ekibinin resmi olarak MetaMask bünyesine katılmasından son derece heyecan duyuyoruz; bu adım, kullanıcılara mümkün olan en güvenli deneyimi sunma hedefimizi ileriye taşıyor. Duyuruda belirtildiği üzere entegrasyon, "işlem doğrulama ve istemci taraflı buluşsal yöntemler aracılığıyla dolandırıcılık ve drainer tespitini iyileştirerek MetaMask'ın güvenliğini artıracak; böylece gizlilik ve öz-egemenliği korurken kullanıcılara kötü amaçlı merkeziyetsiz uygulamalara ve dolandırıcılıklara karşı üstün gerçek zamanlı koruma sağlayacak."
LavaMoat yeni bir web sitesi yayına aldı
LavaMoat'a dair her şey artık lavamoat.github.io adresinde yer alıyor; açık kaynaklı araç setinin JavaScript projelerini tedarik zinciri saldırılarına karşı nasıl koruduğunu anlatan tanıtım videosu da dahil. MetaMask'tan Zbigniew Tenerowicz, bir önceki yaz DEFCON'da düzenlediği Defensive Coding atölyesini LavaMoat hakkında farkındalık yaratmak amacıyla Confidence ve X33FCON konferanslarına da taşıdı.
Güvenlik Durumu: MetaMask ve Wallet Guard
MetaMask ve Wallet Guard'ın Güvenlik Durumu serisinin en son bölümünde Ryan Jones ve Gal Weizman, Ohm ve Michael'a katılarak işlem simülasyonlarını, birlikte çalışabilirliği, MetaMask Web'i ve tedarik zinciri saldırılarına karşı korunmak için LavaMoat kullanımını ele aldı; bunların yanı sıra kriptoda güvende kalmanın her zamanki ipuçlarını da paylaştı.
İş dolandırıcılıkları artıyor: Kuzey Kore bağlantılı gruplar kripto çalışanlarını hedef alıyor
ABD FBI bir PSA yayımladı ve evden çalışma fırsatı arayan iş arayanları dikkatli olmaya davet etti. Kripto ve blokzincir işleri özellikle belirtilmemiş olsa da MetaMask'ın Tehdit İstihbaratı ve Kullanıcı Güvenliği ekipleri, topluluğun özellikle hedef alındığını söylüyor. İstenmeyen iş tekliflerine ekstra şüpheyle yaklaşın, güvenilmeyen mesajlardaki bağlantılara asla tıklamayın veya ekleri açmayın ve "bir işin parçası olarak işvereninize kripto para ödemesi yapmanız istenirse" kesinlikle bu teklifle ilgilenmeyin. Bu dolandırıcılıkların önemli bir kısmı, çoğunlukla devlet destekli gelişmiş kalıcı tehdit (APT) gruplarıyla bağlantılıdır. Bir işe alım yöneticisi olan zak bunu açıkça şöyle ifade etti: "Son zamanlarda görüştüğümüz neredeyse her geliştirici büyük ihtimalle Kuzey Koreliydi." Kripto ile ilgili işletmeler de başvuru sahiplerini değerlendirirken son derece dikkatli olmalıdır; zira bu süreç de popüler bir saldırı vektörü haline gelmiştir. Doğrulanmış ve tutarlı özgeçmiş bilgilerini içeren kapsamlı mülakatlar yapın ve başvuru sahiplerinin kamera karşısında olmasını zorunlu kılın.
SEAL, whitehat araştırmacılar için bir hukuki savunma fonu başlattı
Etik whitehat hackerlar sektörümüzün temel taşlarından biridir. Bu araştırmacılar, kötü niyetli kişiler açıklardan yararlanmadan önce güvenlik açıklarını tespit edip sorumlu bir şekilde ifşa eder. Ancak Security Alliance (SEAL)'ın yakın zamanda açıkladığı üzere, web2'nin tarihi göstermektedir ki "bu önemli çalışma, özellikle araştırma ve ifşaatların hoş karşılanmadığı veya yanlış anlaşıldığı durumlarda ciddi hukuki riskler ve buna bağlı maliyetler doğurabilmektedir." Bu nedenle SEAL, Whitehat Safe Harbor Anlaşması'nı kullanan uygun araştırmacılara hukuki kaynak sağlamak amacıyla Security Research Legal Defense Fund ile birlikte bir girişim başlattı.
Bir kullanıcı imza phishing saldırısında 11 milyon dolar kaybetti
Ne oldu
22 Haziran 2024'te bir kullanıcı birden fazla permit phishing imzası imzaladı ve bu durum 11 milyon ABD doları değerinde token kaybına yol açtı. Kurbanın aynı zamanda bir MakerDAO yönetişim delegesi olduğu da ortaya çıktı. SEAL araştırmacısı Pcaversaccio, imza phishing'in sektörümüzdeki en büyük sorun olduğunu savunarak kullanıcıların uyarıları önemsemediğini ve imzalamanın sonuçlarını göz önünde bulundurmadığını belirtiyor. MetaMask'tan Taylor Monahan ise 2021'den bu yana onay phishing dolandırıcılıklarından kaynaklanan toplam zararın 600 milyon doların üzerinde olduğunu açıkladı.
Kullanıcılar kendilerini nasıl koruyabilir
Kullanıcılar üç temel adımı izleyerek kendilerini koruyabilir.
Günlük olarak kullandığınız cüzdandaki varlıkları sınırlı tutun. Kötü amaçlı bir imza imzalarsanız zararın etkisi en aza indirilmiş olur.
İmza talebinin geldiği alan adını doğrulayın ve orijinal projenin alan adıyla eşleşip eşleşmediğini kontrol edin. Bunu yapmanın hızlı bir yolu, projenin resmi sosyal medya veya blog sayfasına gidip bu profillerden gelen alan adlarının taleple örtüşüp örtüşmediğini kontrol etmektir.
Talepteki token ve adres içeriklerini doğrulayın. Talep çoğunlukla göndermeyi düşünmediğiniz bir token'ı içerir. Harcayıcı adresi ve/veya işlem adresi, hedeflediğiniz adresten farklı olacaktır.
Bu basit kontroller, istenmeyen fon kayıplarının önlenmesine yardımcı olabilir.
CoinGecko e-posta satıcısı ihlalinin ardından 23.000 phishing e-postası gönderildi
Ne oldu
Bir kripto para veri toplayıcısı olan CoinGecko, 5 Haziran 2024'te üçüncü taraf e-posta pazarlama platformu GetResponse'taki ele geçirilmiş bir hesap aracılığıyla veri ihlaline uğradı. Saldırgan yaklaşık 2 milyon kişilik iletişim listesine erişti ve başka bir müşterinin hesabından 23.723 phishing e-postası göndererek kullanıcıların adlarını, e-postalarını, IP adreslerini ve konumlarını ifşa etti; ancak CoinGecko kullanıcı hesapları ve şifreleri güvende kaldı.
Kullanıcılar kendilerini nasıl koruyabilir
Kullanıcılar, airdrop veya token talep etmeye yönelik her türlü e-postaya son derece temkinli yaklaşmalı ve istenmeyen e-postalardaki bağlantılara tıklamaktan ya da ekleri indirmekten kaçınmalıdır. Kripto projeleri, birlikte çalıştıkları üçüncü taraf satıcıların kullandığı güvenlik kontrolleri konusunda dikkatli olmakla yükümlüdür.
Kötü amaçlı Chrome uzantısı 1 milyon dolardan fazla çaldı
Ne oldu
Başlangıçta bir işlem verisi toplayıcısı olarak pazarlanan Aggr, kötü amaçlı olduğu ortaya çıkan bir Chrome uzantısıdır. Haziran 2024'ün başında bir Binance kullanıcısı 1 milyon dolarlık kayıp bildirdi ve SlowMist bunu Aggr eklentisine bağladı. SlowMist, Aggr'ın yatırımcıların çerezlerini —özellikle kripto para borsalarına bağlı olanları— topladığını tespit etti; saldırganlar bu çerezleri merkezi borsa (CEX) portallarına erişmek ve kurbanların hesaplarının kontrolünü ele geçirmek için kullandı.
Kullanıcılar kendilerini nasıl koruyabilir
Ders şu: Tarayıcı uzantıları dahil yüklediğiniz her yazılım konusunda dikkatli olun ve geliştiricileri araştırın; geçmişi olmayan anonim hesaplar yerine doğrulanmış ve güvenilir olanları tercih edin ve uygulamaya güvenmeden önce geçmişini inceleyin.
MetaMask'ın Haziran 2024 Kripto Güvenlik Raporu, Consensys'in Wallet Guard'ı satın almasını, MetaMask'ın güncellenmiş gizlilik politikasını ve 11 milyon dolarlık imza phishing kaybı, CoinGecko e-posta satıcısı ihlali ile 1 milyon dolardan fazla çalan kötü amaçlı Aggr Chrome uzantısı dahil bir dizi tehdidi ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
