Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Mart 2023'te Endo ve LavaMoat ekipleri, güvenli paketleme yaklaşımlarını yeniden düzenleyerek webpack-transform deneyini durdurdu ve bunun yerine webpack loader'ı tercih etti; aynı zamanda global scuttling'i alt realimlere genişletti ve MetaMask'ın mobil uygulaması için React Native desteğini yeniden hayata geçirdi. MetaMask ayrıca EthDenver sezonundan iki konuşma paylaştı: kurucu ortağı Dan Finlay'in Delegatable üzerine sunumu ve güvenlik araştırmacısı Gal Weizman'ın JavaScript realimleri ve Snow üzerine konuşması. Ancak ayın en net dersi, airdrop'lara karşı temkinli olmaya devam etmekti: Arbitrum claim'i etrafında dolandırıcılık vakaları hızla arttı; yaklaşık 2.400 cüzdan önceden ele geçirildi, dolandırıcılar sahte bir MetaMask airdrop snapshot'ı kullanarak kullanıcıları phishing sitelerine yönlendirdi ve benzer dolandırıcılık girişimleri Polkadot, Shiba Inu ile sahte bir OpenAI token'ını hedef aldı. Tüm ayrıntılar aşağıda, ama önce...
Öne Çıkan STEM Öncüsü: Columbia'nın NORC Süperbilgisayarının Operatörü Faith Lillibridge
Faith Lillibridge, 1954 yılında Columbia Üniversitesi'nin Watson Bilimsel Hesaplama Laboratuvarı'nın beşinci katında bulunan NORC (Naval Ordnance Research Calculator) konsolunun başında görüntüleniyor. IBM tarafından ABD Donanması için inşa edilen NORC, 1954'teki açılışında dünyanın en güçlü bilgisayarıydı. Bu tür erken dönem makineleri çalıştıran operatörler, oda büyüklüğündeki donanımı güvenilir ve tekrarlanabilir hesaplamaya dönüştürdü; bu disiplinli ve ayrıntılara önem veren çalışma anlayışı, bugün hâlâ güvenilir sistemlerin temelini oluşturmaktadır.
Endo, webpack-transform yaklaşımını durduruyor ve lavamoat-node için exitModuleImportHook ekliyor
Endo'nun, orijinal import/export ifadelerinden ödün vermeden webpack transform'larına entegre olma girişimleri, webpack'in parçalara ayrılıp bir bundler oluşturmak için çerçeve olarak kullanılmadığı sürece başarısız oldu. Endo bu çalışmayı durdurmaya ve LavaMoat açık kaynak araç setinde yeni bir yöntem deneyerek daha basit bir çözüm geliştirmeye karar verdi. Ayrı olarak, en son Endo compartment-mapper güncellemesi exitModuleImportHook'u ekledi; bu özellik, önceden oluşturulmuş bir liste gerektirmek yerine exit modüllerinin dinamik olarak içe aktarılmasına olanak tanıyor ve compartment-mapper'ın lavamoat-node için backend olarak kullanılabilmesi için gereken son önemli özelliği temsil ediyor. Endo SES beyaz listesi, React Native Android JSC için endojs/endo #1511 kapsamında küçük bir güncelleme aldı; bu güncelleme uzun süredir açık olan issue #660'ı kapattı (daha yakın zamanda LavaMoat/docs #16'da takip edilmekteydi) ve React Native JSC build scripts issue #181'de daha ayrıntılı incelendi.
LavaMoat bir webpack loader test ediyor ve global scuttling'i alt realimlere genişletiyor
LavaMoat, compartmentalization uygulamak için webpack loader kullanan ve runtime'ı sonradan ekleyen alternatif bir güvenli paketleme yaklaşımını keşfetmeye başladı. Loader'ların üzerindeki katmanlar değişmeden kaldığından, tree-shaking gibi özelliklerin büyük çoğunluğu çalışmaya devam ediyor; asıl risk ise özel eklentilerin kodu öngörülemeyen şekillerde değiştirebilmesidir. Scuttling güvenlik özelliği artık deneysel "scuttleGlobalThis" seçeneği Snow ile birlikte yapılandırılarak tüm potansiyel same-origin alt realimlere (iframe'ler gibi) uygulanabiliyor (ilerleme burada). LavaMoat Browserify örneklerine yönelik küçük bir güncelleme LavaMoat/LavaMoat #476'da yayımlandı.
LavaMoat, MetaMask'ın mobil uygulaması için React Native desteğini yeniden hayata geçiriyor
React Native desteği yeniden canlandırıldı; başlangıçta RN v0.66.5'i hedefleyen ve şimdi RN v0.71.4'e güncellenen Endo SES lockdown entegrasyonuyla çalışmalar yeniden başlatıldı ve MetaMask mobil uygulama entegrasyonu devam ediyor. İlerleme LavaMoat React Native epic'te takip edilmektedir.
Dan Finlay, EthDenver'da "Better Dapps with Delegatable" sunumunu gerçekleştiriyor
Dan Finlay, 2023'te EthDenver'a ilk kez katılarak Delegatable üzerine bir konuşma yaptı ve delegasyonun merkeziyetsiz uygulama geliştirmeyi nasıl daha güvenli ve kolay hale getirebileceğine dair bir vizyon paylaştı. Finlay'in ifadesiyle: "Airdrop talep eden ve ardından tüm paralarını kaybeden pek çok insan var… Delegatable, bir sözleşme üzerinde yapabileceğiniz her şeyi başka bir hesap için yapmanıza olanak tanıyor. Açık uçlu bir caveat sistemi sunuyor; bu sayede paylaştığınız yetkiyi istediğiniz şekilde sınırlandırabiliyorsunuz. Bu da hot wallet'larınızı daha soğuk tutmanıza imkân veriyor: onların yapabileceklerini kısıtlarken zincir üzerinde işlem yapmalarına izin vermeye devam edebiliyorsunuz."
Gal Weizman "JS Realms, Security Blank Spot" Sunumunu Gerçekleştiriyor
Gal Weizman, bağımlılıklarla bağlantılı tedarik zinciri saldırılarının artan tehlikelerine ve Snow JS'nin bu açıkları kapatmaya nasıl yardımcı olabileceğine dair bir konuşma yaptı. Konuşmada webin evrimi, güvenlik ve görünürlüğün önemi, üçüncü taraf çözümler, JavaScript realimleri ve Snow JS ele alındı.
Hackerlar MetaMask'ı taklit ederken airdrop dolandırıcılıkları artıyor; sahte bir MetaMask snapshot'ı kullanıcıları phishing'e çekmek için kullanılıyor
Mart 2023'te airdrop'lar etrafındaki şüpheli faaliyetler belirgin biçimde arttı. Bir önceki ay MetaMask, rugpull ve airdrop dolandırıcılıklarının tehlikelerine ilişkin bir genel bakış yayımlamış ve kullanıcılara "bedava para" tekliflerinin kötü niyetli kişiler tarafından sıkça kullanılan bir tuzak olduğunu hatırlatmıştı. Nitekim tam da bu senaryo yaşandı: Dolandırıcılar sosyal medyada MetaMask'ın 31 Mart'ta bir snapshot alacağını veya airdrop düzenleyeceğini iddia eden sahte bir duyuru yaydı. Bu tuzak, var olmayan token'ları talep etmeye çalışan kullanıcıların fonlarını çalan phishing sitelerine yönlendirmek amacıyla tasarlanmıştı. MetaMask, dolandırıcılığı ifşa etti ve 29 Mart 2023'te topluluğu uyararak sahte iddianın "yalnızca yanlış değil, aynı zamanda tehlikeli" olduğunu vurguladı; zira bu tür iddialar, kullanıcıların varlıklarını hedef alan dolandırıcı ve phisher'lara zemin hazırlıyor. Polkadot, Shiba Inu ve sahte bir OpenAI DeFi (GPT-4) token'ını taklit eden benzer airdrop dolandırıcılıkları ay boyunca aynı yöntemi kullandı.
Arbitrum airdrop'u öncesinde yaklaşık 2.400 cüzdan hedef alındı
Arbitrum airdrop'undan birkaç gün önce, Arkham 20 Mart 2023'te bir hacker'ın önceki 12 saat içinde 0x59d4...fb19 adresinden yaklaşık 2.400 muhtemelen ele geçirilmiş cüzdana fon gönderdiğini ve bu cüzdanların claim'i bekleyerek ARB token'ını onayladığını bildirdi. Sonrasında CoinDesk, "Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be" başlıklı haberinde neler yanlış gidebileceğini ayrıntılı biçimde ele aldı.
Web3 ekiplerine Cloudflare Global API key açığı uyarısı
MetaMask Güvenlik araştırmacısı Taylor Monahan (@tayvano_), Cloudflare kullanan web3 ürün ekiplerini 24 Mart 2023'te derhal harekete geçmeye çağırdı: tüm hesaplar için Global API Key'i yenileyin ve Global API Key'i henüz yenilenmemiş hesapları Cloudflare'den kaldırın. Eski Global API Key tam hesap erişimi sağladığından, bu anahtarın açığa çıkması özellikle tehlikeli sonuçlar doğurabilir.
Metaverse "konferans" daveti sosyal mühendislik tuzağı olarak kullanılıyor
Trading Uncle (@thetradingunc), 14 Mart 2023'te bir sosyal mühendislik girişimini belgeledi: Bir hesap, hedef kişiye doğrudan mesaj göndererek içeriklerini övdü ve onları metaverse'de diğer panelistlerle birlikte bir "konferansta" konuşmacı olmaya davet etti. Bu yaklaşım, dolandırıcılık girişiminden önce hedefin savunmasını düşürmeye yönelik olarak tasarlanmıştı.
MetaMask'ın Mart 2023 Kripto Güvenlik Raporu; sahte bir MetaMask snapshot'ının kullanıcıları phishing'e çekmek için kullanıldığı da dahil olmak üzere airdrop dolandırıcılıklarındaki artışı, Arbitrum airdrop'u öncesinde ele geçirilen yaklaşık 2.400 cüzdanı ve web3 ekiplerine yönelik Cloudflare Global API key uyarısını ele aldı. Ekosistemde güvende kalmak için daha fazla tehdit, eğilim ve ipucu bulmak amacıyla MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
