加密安全报告：2022年8月

每个月，MetaMask 安全团队都会报告您需要了解的最新加密货币攻击事件和新兴风险。

2022 年 8 月，Endo 项目在其隔间映射器中验证了 LavaMoat 风格的策略执行机制，Snow 工具修复了多个漏洞并探索了 SES 锁定集成，MetaMask 的 HackerOne 漏洞赏金计划在上线头两个月内解决了五个问题，共支付了 22,000 美元奖励。在威胁方面，网络钓鱼团伙利用以太坊即将到来的合并升级所引发的混乱，大量发送冒充 Infura 等可信机构的电子邮件，诱导用户进行并不存在的"ETH 2.0"转换；与此同时，更广泛的诈骗生态也在持续扩张：据估计，2022 年共有 64,661 个新蜜罐代币上线，较 2021 年增长了 83%。完整分析如下，但首先……

本期 STEM 先驱人物：Leslie Lamport——拜占庭容错理论与 LaTeX 的创始人

Leslie Lamport 于 1982 年发表的论文《拜占庭将军问题》正式阐述了分布式节点在部分节点可能存在恶意行为的情况下如何达成共识这一挑战——而权益证明和工作量证明协议正是为解决这一问题而生，从而保障区块链网络的安全。他提出的 Paxos 共识算法是现代分布式系统的基石，他还创建了 LaTeX——一款广泛应用于科学出版领域的文档排版系统。Lamport 于 2013 年荣获 ACM 图灵奖。

以太坊合并网络钓鱼活动冒充可信机构，以虚假 ETH 2.0 转换诈骗用户

2022 年 8 月，诈骗者加大力度发动网络钓鱼攻击，企图利用围绕以太坊合并网络升级（已于 2022 年 9 月 15 日完成）所产生的混乱与不确定性。大量精心伪造的电子邮件冒充 Infura 等可信机构广泛传播，诱导用户"将 ETH 转换为 ETH 2.0"——而这一代币根本不存在。合并将以太坊从工作量证明过渡到权益证明，无需用户采取任何操作：无需代币兑换、无需新建钱包、也无需迁移 ETH。在合并前夕，Consensys 发布了辟谣内容以应对错误信息的传播。在 MetaMask 等 EVM 兼容自托管钱包中持有 ETH 的用户，在合并网络升级后无需采取任何操作。

加密货币蜜罐诈骗利用隐藏的智能合约限制锁定买家资金

Consensys 发布了一份蜜罐诈骗机制指南，详细说明了攻击者如何部署表面上提供盈利交易机会、实则包含隐藏代码阻止买家卖出的智能合约。该合约允许买入操作，推动代币价格上涨，同时通过隐藏限制屏蔽所有卖出交易——仅允许部署者地址进行卖出。常见的风险信号包括：无卖出记录的代币、未经验证的合约源代码，以及单一钱包流动性池。

Endo 隔间映射器在概念验证中实现 LavaMoat 风格的策略执行

Endo 项目完成了一项概念验证，将 LavaMoat 风格的安全策略集成到其隔间映射器中。该实验展示了对全局变量的选择性赋权以及对依赖项的受控访问——策略在加载时或归档创建期间定义，嵌入隔间映射器，并在链接阶段强制执行。后续计划工作包括：改进包标识符、在策略全局变量中支持嵌套属性、对赋权函数的值进行封装与解封，以及进一步探索内置衰减机制。

Snow 修复多个漏洞并探索 SES 锁定集成

Snow 是 LavaMoat 旗下的一款工具，可对 Web 应用程序中创建的所有 iframe 和窗口强制执行递归安全策略。该工具近期经历了一轮测试与漏洞利用分析，发现并修复了多个漏洞，其中一个漏洞的修复推动了 Snow 内部安全架构的重大改进。此次修复为集成 SES lockdown()——即安全 ECMAScript 加固函数——开辟了可能性，以进一步增强 Snow 对基于 realm 攻击的防御能力。LavaMoat 还启动了对其工具文档的全面更新。

HackerOne 漏洞赏金计划上线头两个月解决 5 个问题，共奖励 22,000 美元

我们在 HackerOne 上的漏洞赏金计划于 2022 年 6 月 13 日正式上线，在头两个月内共收到 171 份报告。平均首次响应时间为 5 小时。共解决了五个问题——1 个高危、3 个中危、1 个低危——共向报告者支付了 22,000 美元奖励。这些问题的平均修复时间为 44.4 天。纳入范围的资产包括 MetaMask 扩展程序（MetaMask/metamask-extension）和 MetaMask 移动端（MetaMask/metamask-mobile）。

已解决的漏洞赏金问题（前两个月）：

MetaMask 2022 年 8 月加密货币安全报告涵盖了以下内容：冒充可信机构发起虚假 ETH 2.0 转换诈骗的以太坊合并网络钓鱼活动、加密货币蜜罐诈骗机制（据估计 2022 年共部署了 64,661 个新蜜罐代币），以及 Endo 将 LavaMoat 风格策略执行集成到其隔间映射器的概念验证。浏览往期 MetaMask 加密货币安全报告，了解更多威胁、趋势及生态系统安全防护建议。