Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Eylül 2023'te MetaMask, cüzdana izinsiz ve özelleştirilebilir güvenlik getiren Snaps'in açık beta sürümünü başlattı. Ayrıca Ledger iş birliğiyle hazırlanan öz-saklama eğitim içeriklerini paylaştık ve Wallet Guard ile birlikte bir State of Security (Güvenlik Durumu) etkinliği düzenledik. Araç geliştirme tarafında ise LavaMoat sürüm sıklığını artırdı, Node 20 desteği ekledi ve ScorchWrap'i beta için hazır hale getirdi. MetaMask'tan Gal Weizman ve Zbigniew Tenerowicz ise W3C'nin "Secure the Web Forward" etkinliğinde sertleştirilmiş JavaScript ve tarayıcı realmları üzerine sunum yaptı. Tehdit cephesinde ise Taylor Monahan, yaklaşık 35 milyon dolarlık hırsızlığı LastPass'te saklanan Secret Recovery Phrase'lerle ilişkilendirdi; Pink Drainer grubunun SIM-swap saldırısının Vitalik Buterin'in hesabını nasıl ele geçirdiğini de ayrıntılı biçimde anlattık. Tüm detaylar aşağıda, ama önce...
Öne Çıkan STEM Öncüsü: CAPTCHA'nın Ortak Mucidi Luis von Ahn
Luis von Ahn, CAPTCHA ve reCAPTCHA'yı ortak icat eden Guatemalalı bir bilgisayar bilimcisidir. İnsanları botlardan ayırt eden ve web hizmetlerini otomatik kötüye kullanıma karşı koruyan bu doğrulama testleri, günümüz web güvenliğinin temel taşlarından biridir. Von Ahn aynı zamanda insan hesaplaması fikrini de öncülüğünü yapmış ve daha sonra Duolingo'yu kurmaya ortak olmuştur. Çalışmaları, günlük web güvenliğinin temel bir katmanında yer almaktadır: karşı tarafta gerçek bir insan olduğunu ucuz ve ölçeklenebilir biçimde kanıtlamak.
MetaMask, Snaps Açık Betasını Başlattı; Dizinde Güvenlik Odaklı Snaps Mevcut
MetaMask, 12 Eylül 2023'te Snaps'in açık beta sürümünü başlattı. Bu sayede kullanıcı tercihlerine ve ihtiyaçlarına göre özelleştirilebilir güvenlik seçenekleri cüzdan içinde genişletildi. Snaps, üçüncü taraf geliştiriciler tarafından oluşturulan ve kullanıcıların doğrudan cüzdanlarına yükleyebildiği özellik ve işlevlerdir (metamask.com/snaps). Bu açık beta, güçlü kullanıcıları ve erken benimseyenleri hedef alan bir başlangıç noktası olarak tasarlanmıştır. Denetlenmiş Snaps Dizini'nde halihazırda birçok güvenlik odaklı Snap mevcuttur. Resmi dizindeki her Snap, MetaMask ekibi ve harici denetçiler tarafından incelenerek onaylanmaktadır. MetaMask Snaps'ten Christian Montoya, eşlik eden bir paylaşım dizisinde MetaMask güvenliğini optimize etmek için temel ipuçlarını paylaştı ve kullanıcıları riskli işlemlerden korumaya yardımcı olabilecek beta Snaps'leri öne çıkardı.
MetaMask ve Ledger, Öz-Saklama Güvenlik Dersi Yayımladı
MetaMask, Ledger iş birliğiyle öz-saklama sorumluluğunu, yaygın saldırı vektörlerinden nasıl kaçınılacağını ve donanım cüzdanı kullanmanın önemini ele alan bir web3 güvenlik dersi yayımladı. Dersi tanıtmak amacıyla MetaMask kıdemli güvenlik araştırmacısı Miles Nolan, MetaMask ve Ledger'dan meslektaşlarıyla birlikte 20 Eylül 2023'te canlı bir X Space etkinliğine ev sahipliği yaptı.
MetaMask ve Wallet Guard, 3. Çeyrek Güvenlik Durumu Space Etkinliği Düzenledi
MetaMask ve Wallet Guard, güvenliğin mevcut durumunu ele alan ortak bir X Space etkinliği düzenledi. Wallet Guard'dan Ohm, Martin ve Michael'a Marco Menozzi (MetaMask Güvenlik) ve Christian Montoya (MetaMask Snaps) eşlik ederek cihaz güvenliği, sosyal mühendislik, veri ihlalleri, SIM takası, dolandırıcılık reklamları ve MetaMask Snaps konularını tartıştı. Wallet Guard ayrıca kaydın yazılı bir özetini de paylaştı.
HackerOne'ın Büyükelçi Dünya Kupası Yarı Finallerinde MetaMask, Shopify ve Tinder Hata Avı Hedefi Oldu
HackerOne, 27 Eylül 2023'te Büyükelçi Dünya Kupası'nın yarı finallerini başlattı. 4 takım, ürünlerini güvence altına almak ve müşterilerini korumak amacıyla MetaMask, Shopify ve Tinder dahil çeşitli iş ortakları için hata avı yaptı.
Calldata İzin Listesi, DNS Ele Geçirme Kayıplarını Azaltmayı Hedefliyor
Son 3 yılda DNS ele geçirme ve kötü amaçlı içerik enjeksiyonu yoluyla 125 milyon dolardan fazla varlık çalındı. MetaMask, Yearn ekibinin geliştirdiği bir çözümü benimsiyor: DNS ele geçirme durumunda kötü niyetli aktörlerin kullanıcılara zarar vermesini engelleyen bir blockchain calldata izin listesi. MetaMask'ın geliştirici ilişkileri ekibi, girişim için katılımı kritik öneme sahip üçüncü taraflarla iletişime geçiyor. Daha fazla ayrıntı, kavram kanıtı deposuna bağlantı içeren genel belgede ve Miles Nolan'ın yer aldığı kısa açıklayıcı videoda bulunabilir.
LavaMoat Güncellemesi: Daha Hızlı Sürümler, Node 20 Desteği, ScorchWrap Beta ve Mobil Kilitleme
Sürüm sürecindeki iyileştirmeler sayesinde yeni sürüm çıkarmak artık çok daha kolay hale geldi ve daha yüksek bir sürüm sıklığı standart haline geldi. Test yapısındaki bir değişiklik, testlerin artık resmi olarak desteklenen Node 20 üzerinde de sorunsuz çalışmasını sağladı. ScorchWrap eklentisi beta için hazır olup iki uzak geliştirici etkinliğinde duyurulacak; beta programı LavaMoat tartışmalarında yürütülecek. MetaMask Mobile'da Lockdown artık çalışıyor ve yakında yayımlanması bekleniyor.
Gal Weizman ve Zbigniew Tenerowicz, W3C'nin "Secure the Web Forward" Etkinliğinde Sunum Yaptı
W3C'nin "Secure the Web Forward" etkinliğinde Zbigniew Tenerowicz, proaktif bir savunma yaklaşımıyla tedarik zinciri güvenliğine sertleştirilmiş JavaScript uygulaması üzerine sunum yaptı. Gal Weizman ise JavaScript realmlarının mevcut web uygulama güvenlik araçlarını atlatmak için nasıl kullanıldığını anlattı. Snow JS projesini yöneten Weizman, "same origin concern" (aynı kaynak endişesi) başlıklı ilgili bir makalede, uygulamaların kendi kökenleri altında ortaya çıkan yeni realmlar üzerindeki kontrol eksikliğini, mevcut çözüm girişimlerinin neden yetersiz kaldığını ve tarayıcı tabanlı bir çözümün güvenli ve performanslı bir düzeltmeyi nasıl sunabileceğini ele aldı. Makale bu ay W3C güvenlik çalışma grubuna sunuldu.
LastPass'te Saklanan Secret Recovery Phrase'ler, ~35 Milyon Dolarlık Çalıntı Fonla İlişkilendirildi
Yaklaşık 35 milyon dolarlık yüksek değerli hırsızlık serisi, LastPass'in neredeyse bir yıl önce açıkladığı bir ihlalle bağlantılı olabilir. MetaMask'tan Taylor Monahan, Aralık 2022'den bu yana ipuçlarını takip ediyor. Monahan, mağdurların "gerçekten makul ölçüde güvenli" olduğunu ve "bu ekosisteme derinden entegre" kişilerden oluştuğunu belirtiyor; bunlar arasında saygın kripto kuruluşlarının çalışanları, girişim sermayedarları ve DeFi protokolleri inşa eden, sözleşme dağıtan ve tam düğüm çalıştıran kişiler yer alıyor. Bulduğu temel ortak nokta, mağdurların bir noktada Secret Recovery Phrase'lerini LastPass'te saklamış olmalarıdır. Tavsiyesi netti: tüm varlıklarınızı yıllarca tek bir anahtar veya ifade altında tutmayın; varlıklarınızı bölün, bir donanım cüzdanı edinin ve şimdi taşıyın. Daha fazla bilgi için Krebs on Security'e bakabilirsiniz.
ERC-7512, Akıllı Sözleşme Denetimleri için Zincir Üstü Standart Öneriyor
ERC-7512 önerisi, akıllı sözleşme denetimlerini zincir üstünde temsil etmeyi hedefliyor. Kullanıcıların ve uygulamaların saygın denetçiler tarafından gerçekleştirilen denetimleri doğrulayabilmesine olanak tanıyarak bu standart, denetçiler için zincir üstü bir itibar sistemi oluşturacak ve akıllı sözleşmelere güvenilir bir ortam inşa edilmesine katkı sağlayacak.
Rekt'in "Gone Phishing" Yazısı ve Vitalik Buterin'e Yönelik Pink Drainer Saldırısı
Rekt'in "Gone Phishing" yazısı; ele geçirilmiş ön yüzler, pig butchering (domuz kasaplığı) dolandırıcılığı, sekiz haneli bir zincir üstü hata ve kamuya mal olmuş kişilere hatta devlet kurumlarına ait hesapların ele geçirilmesi dahil olmak üzere uzun bir dolandırıcılık serisini bir araya getiriyor. Bunların en dikkat çekeni ise Vitalik Buterin'e yönelik yüksek profilli SIM-swap drainer saldırısıdır. Saldırının arkasındaki grup hakkında daha fazla bilgi için Boring Security, Buterin'in hesabının 10 Eylül 2023'te ele geçirilmesinin ardından Pink Drainer'ın yöntemlerini belgeledi.
MetaMask'ın Eylül 2023 Kripto Güvenlik Raporu; MetaMask Snaps'in açık beta lansmanını, Taylor Monahan'ın LastPass'te saklanan Secret Recovery Phrase'lerle ilişkilendirdiği yaklaşık 35 milyon dolarlık hırsızlıkları ve Vitalik Buterin'in hesabını ele geçiren Pink Drainer SIM-swap saldırısını kapsıyor. Ekosistemde güvende kalmak için daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
