Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Bu ayın en büyük haberi: Araştırmacılarımız Taylor Monahan ve Harry Denley, Secret Recovery Phrase'leri ifşa olan yaklaşık 300 uzun süreli kripto kullanıcısının hesabını boşaltan ve yaklaşık 10 milyon dolarlık çoklu zincir hack'ini araştırmaya devam etti. FTC ayrıca kripto şirketlerini taklit eden kimlik avı e-postaları konusunda uyarıda bulundu ve kullanışlı bir cüzdan boşaltma soruşturma kontrol listesi geniş kitlelere ulaştı. Mühendislik tarafında ise LavaMoat, 27 bağımlılık güncellemesini birleştirdi ve ScorchWrap eklentisi, MetaMask Mobile güçlendirme ve "scuttling" özelliği konusunda ilerleme kaydetti; Endo, CommonJS hata işlemeyi iyileştirdi; Zbigniew Tenerowicz'in "Eval all the Strings!" Hardened JavaScript konuşması yayına girdi. Ayrıntılı döküm aşağıda, ancak önce...
Öne çıkan STEM öncüsü: İlk bilgisayar programcısı Ada Lovelace
Ada Lovelace (1815–1852), Charles Babbage'ın önerdiği Analitik Motor üzerindeki çalışmaları, Bernoulli sayılarını hesaplamaya yönelik bir algoritma da dahil olmak üzere, ilk bilgisayar programcısı olarak kabul edilen İngiliz bir matematikçiydi. Ayrıca böyle bir makinenin salt hesaplamanın çok ötesinde işler yapabileceğini öngördü. Kesin ve doğrulanabilir mantık konusundaki bu erken ısrar, güvenilir yazılım güvenliğinin hâlâ dayandığı disiplinin ta kendisidir.
LavaMoat güncellemesi: 27 bağımlılık pull request'i, ScorchWrap, mobil kilitleme ve scuttling
LavaMoat, bilinen güvenlik açıklarına yönelik düzeltmeler de dahil olmak üzere paketleri genelinde bağımlılık güncellemeleri içeren 27 ayrı pull request'i birleştirdi ve güncellenmiş bağımlılıklar ile Node.js 18 uyumluluk düzeltmeleri içeren küçük sürümler yayımladı. ScorchWrap webpack eklentisi üzerindeki çalışmalar sürdü; runtime'ın paketin kendisine dahil edilmesi konusunda ilerleme kaydedildi ve diğer eklentilerle uyumluluk hakkında bulgular elde edildi. Ekibimiz ayrıca LavaMoat'ın tedarik zinciri korumalarını MetaMask Mobile'a entegre etme çalışmalarını sürdürdü; böylece ele geçirilmiş bir bağımlılık bile hassas tarayıcı API'lerine erişemeyecek. Bu çalışmanın bir parçası olarak ekip, Chrome V8 altında hata ayıklama sırasında ortaya çıkan yakalanmamış istisnaları (ethjs gibi kütüphaneler tarafından fırlatılan TypeError'lar) çözdü. İlgili çalışmalar, bir paketin endowment'larının gereğinden geniş kapsamlı olması durumunda tüm window genelinde ortak global'lere erişimi devre dışı bırakan "scuttling" özelliğini de ilerletti.
Endo, compartment-mapper'daki CommonJS eksik modül hatasını iyileştiriyor
Endo, compartment-mapper'daki CommonJS eksik modül hatasını iyileştirdi; böylece gerekli bir modül bulunamadığında hatalar daha anlaşılır hale geldi.
Zbigniew Tenerowicz'in Hardened JavaScript üzerine "Eval all the Strings!" konuşması
MetaMask'tan Zbigniew Tenerowicz (ZB), Nisan 2023'te Berlin'deki Node Congress'te "Eval all the Strings!" adlı kısa bir konuşma yaptı. ZB, 7 dakikayı biraz aşan bu konuşmada TC39 önerileri olan Secure ECMAScript (SES) ve Compartments'ı ve bunları kullanılabilir kılmak için geliştirdiği araçları ele aldı. Kendi ifadesiyle: "SES + araçlar (LavaMoat veya Endo), ağ, fs, çekirdek modüller veya global'lere erişimi paket bazında kısıtlamayı mümkün kılıyor… Benim için bu, npm tedarik zincirini güvence altına almanın son adımı; bir paket kötü niyetli kişilerin eline geçse bile bana zarar veremeyecek."
"Bu konuşma, TC39 önerileri olan SecureEcmaScript ve Compartments hakkında; bu önerileri savunan kişilerle birlikte bu kavramları kullanılabilir hale getirmek için araçlar geliştiriyorum. Bu, JavaScript güvenliğinin geleceğine dair birinci elden bir anlatım. SES + araçlar (LavaMoat veya Endo), ağ, fs, çekirdek modüller veya global'lere erişimi paket bazında kısıtlamayı mümkün kılıyor. Nasıl çalıştıklarını, hangi olanakları açtıklarını ve biraz çabayla bu geleceği bugün nasıl hayata geçirebileceğimizi göstermek istiyorum. Benim için bu, npm tedarik zincirini güvence altına almanın son adımı; bir paket kötü niyetli kişilerin eline geçse bile bana zarar veremeyecek."
The Defiant: MetaMask'tan Taylor Monahan, 10 milyon dolarlık çoklu zincir hack'ini anlatıyor
The Defiant ile gerçekleştirdiği röportajda MetaMask Güvenlik araştırmacısı Taylor Monahan, kendisi ve meslektaşı Harry Denley'nin Nisan 2023'te araştırmaya başladığı çoklu zincir hack'ini, uzun süreli kripto kullanıcılarını hedef alan bu büyük saldırıyı, güvende kalma ipuçlarını ve "kod kanundur" ile "blockchain değiştirilemez" tartışmalarını anlattı. Saldırganlar alışılmadık bir yöntem kullandı: Çaldıkları varlıkları kurbanın cüzdanında takas ettikten sonra merkezi olmayan bir borsaya (DEX) gönderdiler. Secret Recovery Phrase'leri ifşa olan yaklaşık 300 kişinin nasıl ihlal edildiği hâlâ bilinmiyor ve saldırının tipik kimlik avı yöntemleriyle gerçekleştirilmediği varsayılıyor. Monahan'ın daha güvende kalmak için önerileri arasında donanım cüzdanı kullanmak ve varlıkları birden fazla cüzdana dağıtmak yer aldı.
Jon_HQ'dan bir cüzdan boşaltma soruşturma kontrol listesi
Bir cüzdan boşaltılırsa saldırının nasıl gerçekleştiğini anlamak için güvenlik araştırmacısı olmak gerekmiyor. Twitter kullanıcısı Jon_HQ, 5 Mayıs 2023'te paylaşılan ve bir boşaltmayı araştırırken gözden geçirilmesi gereken adımları anlatan kapsamlı bir kontrol listesi yayımladı; referans olarak yer imlerine eklemeye değer.
FTC, acil Kripto Şirketi e-postalarının kimlik avı dolandırıcılığı olduğu konusunda uyarıyor
Federal Ticaret Komisyonu'nun (FTC) tüketici uyarısı, kamuoyunu kripto ile ilgili hizmetlerden geliyormuş gibi görünen mesajlar konusunda ekstra dikkatli olmaya çağırdı. FTC, istenmeyen e-postalarda mesajın ne söylediğinden bağımsız olarak hızlı hareket etmemeyi tavsiye etti; sahte bir aciliyet hissi yaratmak, eleştirel düşünceyi devre dışı bırakmaya yönelik standart bir dolandırıcılık taktiğidir. Ayrıca istenmeyen e-postalardaki bağlantılara tıklamamayı ve güvenlik yazılımlarını güncel tutmayı önerdi. MetaMask'ı taklit eden kimlik avı e-postaları https://support.metamask.io/chat adresinden bildirilebilir.
Gerçek MetaMask hesaplarını sahte hesaplardan nasıl ayırt edersiniz?
Dolandırıcılar sık sık güvenilir kripto markalarını taklit eder. Kullanıcıları hesap erişimlerini teslim etmeye kandırmak için benzer görünümlü web siteleri, e-postalar ve sosyal medya profilleri oluştururlar. Korunmanıza yardımcı olmak için destek bilgi tabanımız, gerçek MetaMask'ı nasıl tanıyacağınızı ve doğru destek kanalını kullandığınızdan nasıl emin olacağınızı açıklıyor.
MetaMask'ın Mayıs 2023 Kripto Güvenlik Raporu; Taylor Monahan'ın uzun süreli kripto kullanıcılarını hedef alan 10 milyon dolarlık çoklu zincir hack soruşturmasını, kripto şirketlerini taklit eden kimlik avı e-postalarına ilişkin FTC uyarısını ve Zbigniew Tenerowicz'in Hardened JavaScript üzerine "Eval all the Strings!" konuşmasını kapsıyor. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
