Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Kasım 2022'de LavaMoat, Snow ve global scuttling özelliklerini MetaMask Extension dahil tüm kullanıcılar için üretime aldı; buna ek olarak dörtlü arka takla atan bir SES derlemesi, Node.js domain taming ve ilk bin confusion azaltma önlemi de hayata geçirildi. Endo ise genel amaçlı bir bundler prototipi geliştirirken Tehdit İstihbarat Ekibi, STIX tabanlı bir DeFi olay veritabanı oluşturmaya başladı. Topluluk cephesinde MetaMask, Kumavis'in Devcon'daki JavaScript tedarik zinciri güvenliği konuşmasını paylaştı; Gal Weizman, Snow'un extension'a entegre edilmesi gerektiğini savundu ve bir Twitter Space etkinliğinde FTX'in çöküşünün ardından Snaps'in öz-saklama güvenliğini nasıl güçlendirebileceği ele alındı. Ayı tamamlayan uyarıcı hikâyeler arasında Google Ads ve Google Sites kimlik avı saldırıları, sahte Flash Player güncellemeleri aracılığıyla yayılan kötü amaçlı bir Chrome uzantısı ve Telegram trading bot dolandırıcılıkları yer aldı. Ayrıntıların tamamı aşağıda, ancak önce...
Öne Çıkan STEM Öncüsü: Elektronik Müziğin Öncüsü ve BBC Radiophonic Workshop'un Kurucu Ortağı Daphne Oram
Daphne Oram (1925–2003), 1958'de BBC Radiophonic Workshop'u kurmaya öncülük etti ve Oramics adını verdiği tekniği geliştirdi; bu teknikte ses sentezlemek için doğrudan film üzerine şekiller çiziyordu. El çizimi desenleri hassas sinyallere dönüştürme üzerine kurulu çalışması, öz-saklama cüzdanı yazılımının verileri doğrulama biçiminin temelini oluşturan sinyal ve desen düşüncesini önceden haber veriyordu. Oram, kariyeri boyunca son derece teknik araçların uzman olmayanlar için de ifade gücü taşıyan ve erişilebilir hale getirilebileceğini ısrarla savundu.
LavaMoat, Snow ve Global Scuttling'i MetaMask Extension'a Sunuyor
Kasım 2022, LavaMoat için önemli bir üretim dağıtımına sahne oldu. Snow (özyinelemeli iframe ve realm güvenliği) ile global scuttling (politika tabanlı yakalamadan sonra orijinal global referansların kaldırılması), MetaMask Extension dahil tüm LavaMoat kullanıcılarına sunuldu. Yaklaşan sürüm için LavaMoat'a, Node.js'de domain taming de dahil olmak üzere çeşitli güçlü güncellemeler içeren "dörtlü arka takla atan" bir SES sürümü eklendi; bu özellik, bazı paketlerin Node'un uzun süredir kullanımdan kaldırılmış domain modülünü hâlâ kullanması nedeniyle dikkat çekiciydi. Bin confusion saldırısı azaltmanın ilk sürümü @lavamoat/allow-scripts'e eklendi ve bir sonraki sürümde bir bayrak arkasında kullanılabilir hale getirilecek. Birkaç yönlendirmeli soru aracılığıyla bir depoda tüm LavaMoat araçlarını kurmanı sağlayan yeni bir CLI de geliştirilme aşamasındaydı.
Endo, Compartment Mapper Üzerine Genel Amaçlı Bir Bundler Prototipi Geliştiriyor
Endo projesi, bir bundler'ı güçlendirmek için Endo'yu kullanmayı denedi ve compartment mapper'ı üzerine genel amaçlı bir kavram kanıtı bundler inşa etti. Bu çalışma, adlandırılmış yeniden dışa aktarmaların işlenme biçimindeki bir hatanın düzeltilmesi de dahil olmak üzere Endo kod tabanında çeşitli özellik ve iyileştirmeleri beraberinde getirdi.
MetaMask Tehdit İstihbarat Ekibi, STIX Üzerine Bir DeFi Olay Veritabanı Oluşturuyor
MetaMask'ın Tehdit İstihbarat Ekibi, merkeziyetsiz finans (DeFi) alanındaki olaylar için standartlaştırılmış bir veri deposu üzerinde çalışmaya başladı. Kayıtlar, DeFi güvenlik olaylarını takip eden hem uzmanlara hem de meraklılara içgörü sağlamayı hedefleyen STIX (Structured Threat Information Expression) dilini kullanıyor.
MetaMask Kurucu Ortağı Kumavis, Devcon 2022'de JavaScript Tedarik Zinciri Güvenliği Konuşmasını Paylaşıyor
MetaMask'ın kendi geliştiricisi Kumavis, Devcon 2022'de The Attacker is Inside (Saldırgan İçeride) adlı bir konuşma yaptı; bu konuşma JavaScript tedarik zinciri güvenliğine odaklanıyordu. Her projenin paylaşılan açık kaynak üzerine inşa edildiği JavaScript ve kripto ekosistemlerinde yazılım tedarik zinciri saldırılarının nasıl işlediğini ve MetaMask'ın ücretsiz, açık kaynaklı LavaMoat aracının kullanıcıları ve cüzdanlarını nasıl koruduğunu anlattı.
Gal Weizman, Snow'un MetaMask Extension'a Entegre Edilmesi Gerektiğini Savunuyor
LavaMoat katkıcısı Gal Weizman, Snow tarayıcı güvenlik teknolojisinin doğrudan MetaMask tarayıcı uzantısına entegre edilmesini savunan "Integrating Snow into MetaMask" başlıklı bir yazı yayımladı. Snow, tüm iframe'lerde özyinelemeli realm sahipliğini zorunlu kılarak yeni oluşturulan tarayıcı realm'larının değiştirilmemiş API referanslarına ulaşmak ve üst düzey pencereye uygulanan politikaları atlatmak için kullanıldığı saldırı yüzeyini kapatıyor.
FTX'in çöküşünün ardından MetaMask'ın düzenlediği bir Twitter Space etkinliğinde Christian Montoya (MetaMask), Zen Yong (Web3Auth) ve Chirag Titiya (Biconomy) bir araya gelerek MetaMask Snaps aracılığıyla izinsiz inovasyonun kullanıcıların kendi fonlarını kontrol altına almasına ve Gizli Kurtarma İfadelerini daha iyi korumasına nasıl yardımcı olabileceğini tartıştı. Zen Yong'un ifadesiyle FTX olayı, "daha fazla insan öz-saklama [uygulasaydı] kripto üzerinde daha az etkiye yol açabilirdi." Montoya ise hedefin geliştiricilerin MetaMask'a yeni hesap yönetimi seçenekleri eklemesine olanak tanımak olduğunu belirtti; bu sayede yeni kullanıcılara bir anahtarı kaybetme veya hesabın ele geçirilmesi riskini azaltan daha kolay ve güvenli seçenekler sunulabilecek.
Google Ads ve Google Sites, Kripto Cüzdanı Kimlik Avı Sayfalarını Barındırmak İçin Kullanılıyor
Kimlik avı kampanyaları, kripto cüzdanı kullanıcılarını hedef almak için Google altyapısını istismar etmeye devam etti. The Verge, daha önce kimlik avcılarının insanları kriptolarından mahrum bırakmak için Google Ads'i nasıl kullandığını belgelemişti; kullanıcılar ayrıca "sites.google." ile başlayan URL'lere karşı da dikkatli olmalı. Mashable'in haberine göre dolandırıcılar, insanları hassas bilgilerini girmeye kandırmak amacıyla güvenilir web sitelerinin tasarımlarını kopyalayarak Google Sites üzerinde kimlik avı siteleri oluşturmakta da başarı elde etti.
Kötü Amaçlı Chrome Uzantısı Sahte Adobe Flash Player Güncellemeleri Aracılığıyla Yayılıyor
BleepingComputer, saldırganlara bir tarayıcının uzaktan kontrolünü veren kötü amaçlı bir Chrome uzantısını haberleştirdi. Uzantı, resmi Chrome Web Mağazası'nda bulunmuyor; bunun yerine sahte Adobe Flash Player güncellemeleri sunan web siteleri gibi alternatif kanallar aracılığıyla dolaşıma sokuluyor. Kullanıcılar için çıkarılacak ders şu: Tarayıcı uzantıları veya "güncellemeler"i resmi olmayan kaynaklardan yüklemeyin.
Telegram Trading Bot Dolandırıcılıkları Cüzdan Anahtarlarını Tehlikeye Atıyor
Kasım 2022'de sosyal medyada Telegram'daki kötü amaçlı faaliyetler ve trading botlarına ilişkin uyarılar dolaşıma girdi. Twitter kullanıcısı Big D, Telegram üzerinden yayılan ve kolayca gözden kaçabilecek otomatik bir ayar aracılığıyla telefona indirilebilen bir Truva atına dikkat çekerken başka bir analiz kullanıcıların Private Key'lerinin trading botları içinde nasıl ifşa olabileceğini inceledi. Trading botlarının benimsenmesi artıyor; ancak bu botlara cüzdan erişimi vermek fonları tehlikeye atabilir.
MetaMask'ın Kasım 2022 Kripto Güvenlik Raporu; LavaMoat'ın Snow ve global scuttling özelliklerini MetaMask Extension'a üretim ortamında sunmasını, FTX'in çöküşünün ardından MetaMask Snaps'in öz-saklama güvenliğini nasıl güçlendirebileceğini ele alan bir Twitter Space etkinliğini ve Google Ads ile Google Sites kimlik avı saldırıları, kötü amaçlı bir Chrome uzantısı ile Telegram trading bot dolandırıcılıklarını kapsayan uyarıcı hikayeleri ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
