每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2024 年 4 月，ZachXBT、MetaMask 的 Taylor Monahan 及其他研究人员分享了他们对朝鲜 Lazarus Group 洗钱 2 亿美元的调查结果。与此同时，MetaMask 安全实验室向 W3C 提交了 Snow.js 提案，升级了 LavaMoat 针对 ES 模块的策略生成功能，Gal Weizman 还详细介绍了用于安全显示敏感数据的新工具 LavaDome。此外，Security Alliance 推出了一个免费的、原生加密货币的 ISAC。更多详情见下文，但首先……
Fazlur Rahman Khan（1929–1982）是一位孟加拉裔美国结构工程师和建筑师，计算机辅助设计的早期先驱，也是常被称为高层建筑"筒体设计之父"的传奇人物。他的结构体系使新一代高效摩天大楼成为可能——包括威利斯（西尔斯）大厦和约翰·汉考克中心。设计出能在巨大压力下屹立不倒的结构，在某种意义上，与安全工程所面临的挑战如出一辙：打造一个在重重考验下依然坚不可摧的系统。
MetaMask 安全实验室向 W3C 提交了一项孵化提案，引入了基础功能，使团队能够在用户端而非通过 LavaMoat 部署 Snow.js。将其直接嵌入浏览器将使绕过几乎不可能实现，这也是解决"同源问题"的关键一步。团队还升级了策略生成功能，以支持 ECMAScript 模块（ESM）——在传统 require 体系之外兼容 import 和 export 语法——适用于 webpack 插件和新的基于 Endo 的工具；对 target: 'node' 及内置模块的支持将在 LavaMoat webpack 插件的下一个版本中推出。Lockdown 现已在 iOS 版 MetaMask Mobile 上正式永久启用，团队正在完善文档和教学视频，以便为更广泛的生态系统提供更顺畅的 LavaMoat 入门体验。
随着对 Web 应用内部代码的信任不断下降，同源策略等传统防护手段对内部威胁的防御能力日益不足。MetaMask 正通过 LavaDome 来应对这一挑战——这是一款实验性工具，可在 DOM 中安全显示敏感信息，防止恶意代码通过 XSS 或供应链攻击窃取数据。正如 Gal Weizman 所说，LavaDome 能够将敏感值——如 PIN 码、Secret Recovery Phrase、私钥或其他个人数据——安全地渲染到 DOM 中，且集成摩擦几乎为零。
一名运营阅后即焚消息服务 Privnote 仿冒网站的网络犯罪分子，因威胁起诉 MetaMask 而意外暴露了其运营规模。事件起因是一名 GitHub 用户投诉其网站 privnote.co 被错误地加入了 MetaMask 的钓鱼黑名单，并以法律行动相威胁。当被要求实际提起诉讼时，对方慌乱之中开始列举其控制的其他域名，如 privnode.com、privnate.com 和 prevnóte.com，从而暴露了整个网络。
Taylor Monahan 注意到了这一失误，正如 Brian Krebs 详细报道的那样，这些网站在外观和功能上都模仿真实的 Privnote，但有一个关键区别：任何包含加密货币地址的消息都会被自动篡改，将真实收款地址替换为诈骗者控制的地址，而由于消息阅后即焚，这一改动极易被忽视。这一手法利润颇丰：仅通过其中一个钓鱼网站，四个诈骗地址在 3 月份短短五天内就转移了近 18,000 美元的加密货币。
ZachXBT 在 MetaMask 安全团队的 Taylor Monahan 及其他研究人员的协助下，追踪了经混币器和中心化交易所流转的交易路径，记录了 Lazarus Group 如何在 2020 年至 2023 年间将逾 25 起加密货币黑客攻击所得的 2 亿美元洗白为法币。
2020 年至 2023 年间，与朝鲜存在疑似关联的臭名昭著的 Lazarus Group 洗白了估计约 2 亿美元的资金。ZachXBT 联合 MetaMask 安全团队的 Taylor Monahan 及其他研究人员，分享了对 Lazarus 交易路径的调查——追踪了该组织通过混币器和中心化交易所实施的 25 起以上黑客攻击。
Security Alliance 推出了一个免费的信息共享与分析中心（ISAC），专为开源加密货币生态构建，同时支持中心化和去中心化实体。其 SEAL 911 计划自上一年启动以来已帮助追回超过 5000 万美元资产（samczsun 对此有所提及），并邀请各方利益相关者申请加入——包括交易所和交易平台、区块链项目、钱包和存储服务提供商、矿池和基础设施提供商、专注区块链的网络安全公司和研究人员，以及监管与合规专家。
Bernhard Mueller 发布了一篇对 Angel Drainer 的详细分析，Angel Drainer 是目前运营中最臭名昭著的 drainer 服务之一。尽管该服务宣称可绕过 Blockaid 检测，但 MetaMask 默认启用的 Blockaid 功能仍能将该交易标记为欺诈，从而阻止攻击得逞。
LastPass 用户遭到一场复杂钓鱼攻击的针对性打击，攻击者综合利用电子邮件、短信和语音电话来窃取主密码。攻击者使用了 CryptoChameleon——一款专门针对加密货币账户、可绕过多因素认证（MFA）的钓鱼即服务工具包，诱使用户相信其 LastPass 账户已被新设备访问，并将其引导至一个用于窃取凭据的钓鱼网站。LastPass 已对此次攻击活动采取了应对措施，此次事件是针对该密码管理器一系列攻击的组成部分，其中包括上一年披露的一次重大数据泄露事件。防御之道其实并不复杂：对于任何声称来自服务提供商的通信，应通过其官方网站或客服热线进行核实，而非直接回复；同时对要求分享信息、点击链接或下载附件的不明紧急请求保持警惕。
Google 提起诉讼，指控开发者 Yunfeng Sun 和 Hongnam Cheung 在 Google Play 商店分发 87 款欺诈性加密货币应用，受害用户超过 10 万人，其中 8,700 人位于美国。该诉讼在纽约南区联邦法院提起，详述了这些应用如何以加密货币投资为诱饵吸引用户，再以提取所谓收益须缴纳手续费为由将其套牢，同时伪装成合法交易平台，并通过不断更换身份和网络基础设施来逃避下架处理。这场"杀猪盘"式骗局再次提醒我们：在下载应用前务必调查核实其合法性——仔细审查评价和社交媒体反馈——并牢记，看起来好得不像真的，往往就是假的。
近 2,000 个 WordPress 网站遭到入侵，被用于展示虚假 NFT 和折扣弹窗，诱导访客将钱包连接至加密货币 drainer。此次攻击活动最初通过广告和 YouTube 传播 drainer，随后转向暴力破解管理员密码，现在则通过展示虚假 NFT 优惠来欺骗用户，诱使其将钱包连接至来自 dynamic-linx[.]com 的恶意脚本。用户应仅将钱包连接至可信平台，将大额资产存放于硬件钱包，日常钱包中仅保留少量资产，并针对不同风险级别使用不同账户。
MetaMask 2024 年 4 月加密货币安全报告涵盖了 ZachXBT 对 Lazarus Group 洗钱 2 亿美元的调查、Security Alliance 免费原生加密货币 ISAC 的上线，以及针对 LastPass 用户并绕过多因素认证的 CryptoChameleon 钓鱼攻击活动。浏览往期 MetaMask 加密货币安全报告，了解更多威胁动态、趋势分析及生态安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
