加密安全报告：2024年8月

每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。

2024 年 8 月，MetaMask 分享了全新 Wallet Guard 集成如何为用户增添多重安全防护。与此同时，Gal Weizman 就 CSS 注入、LavaDome 和 Shadow DOM 发表了他的见解。我们还分享了最新威胁和攻击的详情：Cthulhu Stealer 恶意软件针对 Mac 用户发起攻击，一个伪装成开发者招聘信息的恶意 npm 包窃取了加密资产和用户凭证。最后但同样重要的是，ZachXBT 揭露了一批朝鲜 IT 工作者，他们以开发者身份潜伏在超过 25 个加密项目中。完整内容如下，但首先……

STEM 先驱人物：Grace Hopper，机器无关编程的先驱

Grace Hopper（1906–1992）是美国海军少将兼计算机科学家，她首次提出了机器无关编程语言的理论——这项工作推动了 COBOL 的诞生——并被誉为第一本计算机手册的作者。她还因推广"debugging（调试）"一词而广为人知。她的1982 年著名演讲非常值得一看。Hopper 致力于让计算变得易于理解和普及，这与当今优质安全教育所依赖的理念如出一辙。

Wallet Guard 集成让 MetaMask 更安全

Wallet Guard 于 2024 年 7 月加入 Consensys，MetaMask 详细介绍了此次集成让 MetaMask 更安全的三种方式：核心技术整合、全面的生命周期保护，以及更快速的威胁响应。

即将举行：MetaMask 与 Wallet Guard 安全状况 X Space，2024 年 9 月 25 日

下一期安全状况 X Space 由 MetaMask 和 Wallet Guard 联合主办，定于 2024 年 9 月 25 日举行，将深入探讨当前加密威胁态势及最佳安全实践，MetaMask 威胁情报与安全研究团队的 Miles 和 Jackson 将出席参与。错过直播的用户可在此处收听录音。

Gal Weizman 谈 CSS 注入、LavaDome 与 Shadow DOM

针对Critical Thinking - Bug Bounty Podcast 近期一期关于 CSS 注入漏洞的节目，Gal Weizman 发表了一篇回应，阐述了 LavaDome 的设计理念，以及为何选择使用 Shadow DOM 而非 iframe 来平衡安全性与用户体验。他的帖子着重强调了将敏感数据安全集成到 Web 应用程序并弥补 Web 安全设计漏洞这一更宏观的目标，并回顾了 Snow 项目如何推动浏览器厂商在浏览器层面考虑解决同源问题。

Cthulhu Stealer 恶意软件针对 Mac 用户发起攻击

事件经过

Cthulhu Stealer 恶意软件针对 macOS 用户发起攻击，打破了 macOS 系统不受恶意软件威胁的固有认知。该恶意软件以恶意软件即服务（MaaS）模式开发，通过 Apple 磁盘镜像伪装成合法软件，在运行时提示用户输入系统密码和 MetaMask 密码。随后，该恶意软件会窃取多种敏感信息，包括加密货币钱包和浏览器 Cookie，并将其存储在指定目录以便外泄。Cthulhu Stealer 在功能上与 Atomic Stealer 恶意软件类似，是针对 macOS 的恶意软件日益增多这一趋势的缩影，再次警示 Apple 用户保持高度警惕。

用户如何保护自身安全

为防范 Cthulhu Stealer 等威胁，macOS 用户应仅从 Apple App Store 或官方开发者网站等可信来源下载软件。启用 Gatekeeper 等内置安全功能（可拦截未经验证的应用），以及及时安装最新安全补丁以保持系统和应用程序更新，同样至关重要。此外，使用信誉良好的杀毒软件可提供额外的安全防护。

通过及时了解潜在威胁并采取这些主动安全措施，用户可以显著降低遭受恶意软件感染的风险，从而保护自己的敏感信息。

伪装成开发者招聘信息的 npm 恶意软件包

这场持续数月、以虚假招聘广告为诱饵针对开发者的复杂恶意软件攻击活动丝毫没有停止的迹象。该恶意软件伪装成名为"execution-time-async"的合法 npm 包，安装恶意脚本以窃取受害者的加密资产和账户凭证。攻击者将恶意代码巧妙隐藏在测试文件中，利用社会工程学手段诱使开发者下载并执行被篡改的软件包。该恶意软件可能是一场更大规模社会工程学攻击活动的组成部分，并与朝鲜国家支持的活动存在关联。

ZachXBT 揭露朝鲜开发者潜伏于 25 个以上加密项目

事件经过

一个团队发现其资金库中有 130 万美元不翼而飞，随即委托 ZachXBT 展开调查。他发现，该团队在不知情的情况下雇用了以虚假身份伪装成开发者的朝鲜（DPRK）IT 工作者，被盗资金经由交易所、跨链桥和混币器构成的复杂路径完成洗钱。ZachXBT 随后进一步识别出超过 25 个同样雇用了朝鲜开发者的加密项目。

用户如何保护自身

此次事件再次凸显了对团队成员进行严格审查和监督的重要性，尤其是那些能够接触敏感操作的岗位。团队应实施严格的背景调查，采用安全的代码规范，并对资金库交易保持严密监控。此外，培育安全意识文化、鼓励举报可疑活动，也能进一步保障团队安全。

MetaMask 2024 年 8 月加密安全报告涵盖了为 MetaMask 增添新防护层的 Wallet Guard 集成、针对 Mac 用户的 Cthulhu Stealer 恶意软件，以及 ZachXBT 发现朝鲜 IT 工作者以开发者身份潜伏于超过 25 个加密项目的事件。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。