每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
本月，我们与 OpenSea 和 Blockaid 联合推出了一项新的交易安全功能，该功能已拦截超过 4,000 笔高风险交易。与此同时，一个名为 Venom Drainer 的"诈骗即服务"平台从约 15,000 名受害者处盗取了 2,700 万美元；我们的研究人员 Taylor Monahan 和 Harry Denley 也开始调查另一起针对长期加密用户的资产盗取活动。此外，Etherscan 更改了一项设置，以帮助遏制地址投毒诈骗。完整详情如下，但首先……
迈克尔·法拉第（1791–1867）是一位主要靠自学成才的英国科学家，他的实验奠定了电磁学（包括电磁感应）和电化学的基础，其电解定律至今仍以他的名字命名。他坚持以严谨、可重复的实验代替主观假设，这种"证据优先"的精神，正是严肃安全研究所依赖的核心原则。
Endo 的 exitModuleImportHook 已更名为 importHook，目前正等待合并至 compartment-mapper。SES 0.18.3+ 现已包含此前提到的针对非标准 AsyncGenerator 和 AsyncFunctionPrototype 的 React Native Android JSC 修复。团队还完成了 BigInt 与 MetaMask Mobile 库兼容性的探索，以确定最佳推进路径：big-integer shim 尚不完全支持 @ethereumjs/util；react-native-v8 完全兼容，但存在阻塞性性能问题；Hermes 提供了可用的 BigInt 实现，但存在其他兼容性问题，且缺少 SES 所需的"with"语句。在 React Native 0.71.6 上使用 SES 0.18.3+ 时出现的各类 TypeError 问题正在调查中，这些工作推动团队逐步接近锁定 MetaMask 移动端的目标——该版本正从 0.66.5 升级，包括升级至 React Native 0.72.0-rc1。
LavaMoat 团队于 2023 年 4 月参加了 React Native London 聚会和柏林 Node Congress，Zbigniew Tenerowicz 的演讲视频预计于次月发布。此前的安全打包方案虽然可行，但其局限性已足够明显，促使团队从 loader 迁移至 plugin，并在打包流程中找到了更合适的模块封装阶段。代号为 ScorchWrap 的插件概念验证版本，能够为各类代码类型（CommonJS、ESM 或编译后的 TypeScript）创建包含真实依赖项的基础包；与其他插件的兼容性及大规模测试工作仍需进一步完善。团队还启动了对 SES 与 Hermes 兼容性的早期研究，开始为 @lavamoat/allow-scripts 提供 Yarn Berry（3+）支持，并就 React Native 新架构及其锁定方案开展了相关演示工作。
2023 年 4 月，我们与 OpenSea 和 Blockaid 合作，推出了一项实验性的可选交易安全功能，可在用户确认前标记已知诈骗行为——该功能已拦截超过 4,000 笔高风险交易。OpenSea 提供其诈骗黑名单，Blockaid 实时分析恶意行为，更多安全工作正在推进中。
MetaMask 安全团队的 Gal Weizman 在"CVE-2023-1767 — Snyk Advisor 服务中的存储型 XSS 漏洞可允许完全伪造 npm 包健康评分"一文中详细记录了他的调查过程。他总结道：Snyk Advisor 中的一个存储型 XSS 漏洞使他能够伪造其控制的 npm 包的健康评分，让一个"恶意"包看起来健康、受欢迎且合法——攻击者本可利用此漏洞诱使他人安装真正的恶意 npm 包。
Monkey Drainer 或许已成历史，但 Venom Drainer 几乎在一夜之间取而代之。根据 Scam Sniffer 于 2023 年 4 月初发布的报告，Venom Drainer 这一"诈骗即服务"平台从约 15,000 名受害者处盗取了 2,700 万美元——仅前五名受害者就损失了 1,400 万美元——涉及约 530 个钓鱼网站，针对约 170 个品牌。
月中，MetaMask 安全团队的 Taylor Monahan 和 Harry Denley 在发现一场针对多年活跃于加密生态系统用户的多链攻击活动后，展开了深入调查——这些受害者中许多人对个人安全颇有了解。涉及的助记词所控制的密钥创建于 2014 年至 2022 年之间，调查仍在持续进行中。Monahan 表示："自 2022 年 12 月以来，此次攻击已在 11 条以上的链上盗取了 5,000+ ETH 以及数量不明的代币/NFT/加密货币。它让我的朋友和圈内老玩家蒙受了损失，而他们的安全意识都相当不错。没有人知道原因。"
CoinDesk 报道称，"Etherscan 重新配置区块链浏览器设置以过滤潜在诈骗"。该浏览器现在默认隐藏零值代币转账显示，此设置旨在防范地址投毒攻击——攻击者通过向钱包发送几乎毫无价值的代币，诱使用户在日后复制并将资金发送至诈骗地址。
诈骗者操控 #UniswapHack 和 #UniswapExploit 话题标签使其登上热搜，随后利用这一虚假"黑客攻击"事件将用户引导至假冒版 Revoke.cash。正如 Hayden Adams 和 Evan Van Ness 于 2023 年 4 月 15 日所指出的，Uniswap 并未遭到黑客攻击，提醒用户保持冷静，切勿在恐慌中采取行动。
一份 Scam Sniffer 报告记录了导致 400 万美元被盗的 Google 搜索广告钓鱼事件。Google 搜索广告钓鱼是一种诈骗手法，诈骗者购买模仿真实加密品牌的赞助搜索结果，将用户引导至仿冒网站以窃取其钱包凭证或资金。此类诈骗是反复出现的威胁，请务必仔细核对 URL，尽量使用书签访问，跳过赞助搜索结果，并考虑使用广告拦截器以降低风险。
MetaMask 2023 年 4 月加密安全报告涵盖了 MetaMask、OpenSea 与 Blockaid 实验性交易安全功能的发布、从约 15,000 名受害者处盗取 2,700 万美元的 Venom Drainer"诈骗即服务"平台，以及针对长期加密用户的多链盗取活动的持续调查。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
