Her ay MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Eylül 2022'de Endo projesi, dahili olarak "quadruple backflip" olarak adlandırılan büyük bir SES shim yeniden yapılandırmasını hayata geçirirken LavaMoat, dokümantasyon güncellemesi ve yeni lavamoat-node kullanım modları sundu. Öte yandan Consensys, kullanıcıların neden phishing saldırılarına kurban giderek fonlarını kaybettiğini araştıran bir çalışma yayımladı. Bu süreçte bir CircleCI kimliğine bürünme kampanyası GitHub kimlik bilgilerini ele geçirdi ve iki faktörlü kimlik doğrulamayı atlatmak amacıyla TOTP kodlarını gerçek zamanlı olarak iletti. Twitter'ın kendi algoritması ise #EthereumMerge hashtag'i trend olurken doğrulanmış bir dolandırıcılık hesabını öne çıkardı; bu kampanya, Vitalik Buterin ve Ethereum Foundation'ı taklit etmek için ele geçirilmiş 36 doğrulanmış hesabı kullanıyordu. Tüm ayrıntılar aşağıda, ancak önce...
Öne çıkan STEM öncüsü: Sosyal mühendislik öncüsü ve güvenlik danışmanı Kevin Mitnick
Kevin Mitnick (1963–2023), en etkili saldırı vektörünün kod değil, insan psikolojisi olduğunu kanıtladı. Onlarca büyük şirkete sızması nedeniyle bir dönem FBI'ın En Çok Arananlar listesinde yer alan Mitnick, daha sonra Fortune 500 şirketlerine ve hükümetlere güvenilir bir güvenlik danışmanı oldu; güvenlik farkındalığı eğitim firması KnowBe4'te Baş Hacking Sorumlusu olarak görev yaptı. Sosyal mühendisliği resmi bir disiplin olarak kurumsal kimliğe kavuşturma yolundaki çalışmaları, sektörün bu raporda ele alınan phishing kampanyalarına karşı nasıl savunma geliştirdiğini doğrudan şekillendirdi.
Consensys çalışması, kripto cüzdan kullanıcılarının neden phishing saldırılarıyla fonlarını kaybettiğini analiz ediyor
Consensys, kullanıcıların phishing nedeniyle nasıl ve neden fonlarını kaybettiğini analiz eden bir çalışma yayımladı. Araştırma, 70 müşteri destek talebi incelenerek ve Gizli Kurtarma İfadeleri ile phishing konusundaki anlayış ve deneyimlerini kapsayan standart bir soru rehberi doğrultusunda fon kaybeden 7 kullanıcıyla yapılan görüşmelerle yürütüldü. Öne çıkan bir bulgu: Kullanıcılar, web3 varlıklarını değerlendirmek için web2 güven sinyallerini (doğrulama rozetleri, takipçi sayıları, profil görselleri) kullanıyor; ancak bu sinyaller, işlemlerin geri alınamaz olduğu self-custodial cüzdan ortamında gerçek güvenilirlikle örtüşmüyor.
CircleCI phishing kampanyası GitHub kullanıcılarını hedef alıyor, iki faktörlü kimlik doğrulamayı atlatıyor
16 Eylül 2022'de GitHub Güvenlik ekibi, kullanıcı kimlik bilgilerini ve iki faktörlü kodları ele geçirmek amacıyla CircleCI'ı taklit eden bir phishing kampanyası tespit etti. Phishing e-postaları, kullanıcıların CircleCI oturumlarının sona erdiğini ya da güncellenmiş kullanım koşullarını kabul etmeleri gerektiğini öne sürerek onları circle-ci[.]com ve emails-circleci[.]com gibi sahte alan adlarına yönlendirdi. Phishing sitesi, TOTP kodlarını gerçek zamanlı olarak hem saldırgana hem de GitHub'a ileterek zamana dayalı iki faktörlü kimlik doğrulamayı devre dışı bıraktı. GitHub'ın kendisi ele geçirilmemiş olsa da kampanya birden fazla kurban kuruluşu etkiledi. Bu olay, TOTP tabanlı 2FA'nın gerçek zamanlı iletme saldırılarına karşı savunmasız olduğunu bir kez daha ortaya koyuyor; donanım güvenlik anahtarları (FIDO2/WebAuthn) en güçlü savunma yöntemi olmaya devam ediyor.
Twitter, Ethereum Merge trend olayı sırasında doğrulanmış dolandırıcılık hesabını öne çıkardı
14 Eylül 2022'de, 15 Eylül 2022 geçişi öncesinde #EthereumMerge hashtag'i Twitter'da trend olurken platformun algoritması, meşru Merge içeriklerinin yanında tanıtılan bir dolandırıcılık hesabını öne çıkardı. Daha kapsamlı kampanya, Vitalik Buterin'i ve Ethereum Foundation'ı taklit etmek için kullanılan en az 36 ele geçirilmiş doğrulanmış Twitter hesabını kapsıyordu. Bu hesaplar, kurbanları ETH yatırmaları karşılığında iki katını geri alacakları vaadiyle phishing sitelerine yönlendiren sahte "50.000 ETH hediye" planlarını tanıtıyordu.
Endo SES shim yeniden yapılandırması, "quadruple backflip" ile kapsam yönetimini ayırıyor
Endo projesi, dahili olarak "quadruple backflip" olarak adlandırılan SES shim'in değerlendiricisinin çok katmanlı bir kapsam yığınına dönüştürülmesine yönelik büyük bir yeniden yapılandırma sundu. Bu değişiklik, kapsam proxy'sinin sızabileceği bir sorunu gideriyor ve global kapsam yönetimindeki farklı kaygıları ayrı katmanlara ayırıyor. İkincil bir fayda olarak: Yeniden yapılandırma tamamlandığında LavaMoat, değiştirilmemiş SES shim'i kullanabilecek; bu sayede shim için LavaMoat'a özgü yamaların kullanılması gerekmeyecek.
LavaMoat, dokümantasyon güncellemesi ve yeni lavamoat-node kullanım modları sunuyor
MetaMask'ın LavaMoat projesi, araçları genelinde kapsamlı bir dokümantasyon güncellemesi yayımladı. Yeni lavamoat-node özellikleri arasında node_modules/.bin üzerinden komut çalıştırmaya yönelik kullanışlı bir yardımcı araç ve programatik bir kullanım API'si yer alıyor; bu sayede geliştiricilerin LavaMoat'ın tedarik zinciri korumalarını mevcut derleme süreçlerine entegre etmesi kolaylaşıyor.
MetaMask'ın Eylül 2022 Kripto Güvenlik Raporu; gerçek zamanlı TOTP iletimi yoluyla GitHub iki faktörlü kimlik doğrulamasını atlatan bir CircleCI kimliğine bürünme kampanyasını ve Twitter'ın algoritmasının Ethereum Merge trend olayı sırasında doğrulanmış dolandırıcılık hesaplarını öne çıkarmasını ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
