每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击和新兴风险。
2022 年 12 月，LavaMoat 在实验性标志下发布了其 bin 混淆缓解措施，Endo 的 compartment-mapper 打包器通过了初步的 CommonJS 概念验证，Node.js 安全工作组提出了一个与 LavaMoat 的按包方式相辅相成的进程级权限模型。在威胁方面，朝鲜的 Lazarus Group 通过伪造的加密应用程序传播了新的 AppleJeus 恶意软件变体，一场持续一个月的社会工程诈骗盗走了价值 107 万美元的 14 只 Bored Ape。年末，HackerOne 漏洞赏金计划的研究人员突破 100 人，PhishFort 追踪到 19,571 起使用 MetaMask 品牌的网络钓鱼攻击，MetaMask 与 Laconic 联合推出了 MobyMask 反钓鱼计划。完整详情如下，但首先……
Hedy Lamarr（1914–2000）与作曲家 George Antheil 于 1942 年共同申请了一项"秘密通信系统"专利，该系统利用跳频技术防止无线电制导鱼雷信号被干扰。将信号分散到快速切换频率上的理念，成为现代扩频技术的基础，广泛应用于 Wi-Fi、蓝牙和 GPS——正是这些无线协议将自托管钱包用户连接到区块链网络。Lamarr 于 2014 年入选美国国家发明家名人堂。
LavaMoat 发布了带有 --experimental-bins 标志的 @lavamoat/allow-scripts，为 npm 和 Yarn 1 项目提供针对 npm bin 脚本混淆攻击的防护。该缓解措施可防止恶意软件包通过 npm 的 bin 字段链接行为劫持合法的 CLI 命令。
Endo 项目在打包方面的工作持续深入。一系列兼容性修复使 compartment-mapper 打包器更接近于可用于实际项目的状态，CommonJS 支持的初步概念验证也通过了测试。
Node.js 安全工作组准备了权限模型的首个提案，以补充其现有的策略系统。其目标与 LavaMoat 类似：减少半可信第三方代码所能访问的系统权限。该提案的方式类似于 Deno 的权限系统，在进程级别配置系统访问权限，而 LavaMoat 则通过在进程内按包级别配置访问权限，实现更细粒度的隔离。一旦 Node.js 权限模型成熟并正式发布，便可与 LavaMoat 结合使用，以实现更强的供应链保护。
朝鲜的 Lazarus Group 被发现通过伪造的加密货币应用程序和网站传播新变体的 AppleJeus 恶意软件，毫无戒备的用户可能会在不知情的情况下下载该恶意软件。此活动由 Volexity 报告，并于 2022 年 12 月 5 日被 The Hacker News 报道。
安全分析师 Serpent 记录了一场持续一个月的社会工程诈骗，该诈骗从单个收藏者处盗走了 14 枚 BAYC NFT，价值超过 852 ETH（107 万美元），分析报告于 2022 年 12 月 17 日发布。全年来看，社会工程始终是不法分子最有效的手段之一，像这样精心策划的诈骗往往历时数周而非数分钟。
通过其 HackerOne 漏洞赏金计划，MetaMask 与超过 100 名独立研究人员建立了合作关系，这些研究人员在全年帮助识别了大量漏洞，为用户提供了更安全的使用体验。该计划持续欢迎新参与者加入并参与赏金竞逐。
全年内，PhishFort 检测到 19,571 起使用 MetaMask 品牌的攻击，并在最后 30 天内成功下架了 1,873 个钓鱼活动。MetaMask 还在浏览器扩展和移动应用中运行了已知钓鱼拦截计划，涵盖 MetaMask 仿冒及其他 Web3 品牌欺骗行为。该拦截名单由 Consensys/MetaMask 拥有和管理，每天更新多次。
MetaMask 推出了 MobyMask，这是一项主动保护用户免受网络钓鱼侵害的新计划，采用动态信任网络来筛选钓鱼举报者，由 Laconic 协助开发。
MetaMask 2022 年 12 月加密安全报告涵盖了 Lazarus Group 通过伪造加密应用程序传播的新 AppleJeus 恶意软件、一场持续一个月盗走价值 107 万美元 14 只 Bored Ape 的社会工程诈骗，以及年终总结——包括 LavaMoat 的 bin 混淆缓解措施、PhishFort 的钓鱼网站下架行动，以及 MobyMask 反钓鱼计划的正式上线。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
