加密安全报告：2023年12月

每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。

2023 年 12 月发生的攻击事件包括：KyberSwap 攻击者要求获得协议的执行控制权，以换取归还 4600 万美元；Justin Sun 旗下 HTX 交易所的 HECO 跨链桥遭到攻击，损失约 8700 万美元；以及 Ledger Connect Kit 软件供应链攻击导致用户损失超过 61 万美元。为扩展主动、可定制的钱包保护功能，MetaMask 在公开测试版中将安全 Snap 扩展至 12 个。为应对新兴威胁，MetaMask 加入了区块链协会政策峰会，Tether 也开始将 OFAC 列名地址加入黑名单。完整详情见下文，但首先……

精选 STEM 先驱：约翰·纳什——现代博弈论的奠基人

约翰·纳什（1928–2015）是一位美国数学家，以其对博弈论的基础性贡献而闻名，其中包括纳什均衡理论。他于 1994 年荣获诺贝尔经济学奖，并于 2015 年荣获阿贝尔奖。博弈论——研究理性参与者在各自结果相互依存时如何行动——是加密经济激励设计的核心，正是这一设计保障了去中心化网络的安全。

LavaMoat 与 Ledger Connect Kit 供应链攻击

针对 Ledger Connect Kit 的供应链攻击据研究员 ZachXBT 估计，已导致用户损失超过 61 万美元。为深入了解事件经过、依赖项管理的重要性，以及 LavaMoat 如何使产品更能抵御此类攻击，MetaMask 联合创始人 Kumavis 发布了完整分析报告。在其完整报告中，MetaMask 联合创始人 Kumavis 详细阐述了 LavaMoat 如何通过仅向每个依赖项授予其所需的权限、并阻止软件包在运行时加载新代码来抵御此类攻击——这是仅靠标记已知问题的扫描工具所无法提供的保护。

使用 12 款全新 MetaMask 安全 Snap 守护您的钱包

MetaMask Snap 是可定制的插件，用于扩展钱包功能。目前已有 12 款安全 Snap 通过公开测试版在 Snap 目录中上线：

• Wallet Guard：通过交易洞察和主动安全警报保护加密资产

• Web3 Security：将 AnChain 的 AI 驱动区块链生态系统智能评分集成至 MetaMask

• Tenderly TX Preview：在交易上链前进行预览，以呈现洞察信息、避免失败并节省资金

• Kleros Scout：利用 Kleros Curate 注册表中的合约元数据获取交易洞察

• Forta：自动将预签名交易中的地址与 Forta 已知诈骗者数据库进行比对扫描

• Blockfence：在批准交易前帮助评估其安全性

• Saferoot：实时拦截危险交易，并即时将资产转移至安全位置

• Assets Risk Detection：通过 GoPlus Security 检测用户资产风险

• TM ChainSafer：提供交易洞察和安全评估，以突出显示交易风险

• Web3 Antivirus：标记诈骗行为及蜜罐攻击、地址投毒等风险

• Quick Intel：跨 28 条区块链进行实时代币风险分析

• Dedaub：模拟交易、验证相关账户的信誉，并计算财务影响

了解更多关于 MetaMask Snap 的信息，并为您的钱包添加安全 Snap。

Taylor Monahan 在区块链协会政策峰会上就朝鲜黑客与加密政策发表见解

在区块链协会政策峰会上，MetaMask 安全团队的 Taylor Monahan 与 Consensys 律师 Bill Hughes 以及来自美国司法部、联邦调查局和金融犯罪执法网络等机构的专家小组共同探讨了朝鲜黑客与加密政策议题。以下是完整小组讨论的几点要点：

• 资金来源：朝鲜通过入侵网络以及向海外派遣 IT 工作人员（将薪酬汇回政权）两种方式获取加密收入。

• 资金流向：被盗资金通过日益复杂的手段进行洗钱，包括混币器和海外网络，这也是比特币混币器被列入制裁讨论范围的原因。

• 追踪方式：区块链分析、监控以及跨机构执法是追踪、冻结和没收这些资产的核心手段。

行业能做什么：小组讨论最后聚焦于加密行业自身的责任，涵盖合规监控以及与执法机构的协作配合。

MetaMask 的 LavaMoat 如何防御供应链攻击

Christian Montoya 参与了 Web3 Antivirus 举办的 X Space，探讨了 LavaMoat 如何防御类似 Ledger 事件的供应链攻击、Infura 正在构建的去中心化基础设施网络（DIN）、eth_sign 的安全隐患以及 MetaMask Snap 等话题。

剖析加密诈骗：谁该为此负责？

Taylor Monahan 还与 Chris Blec 进行了一次深度加密对话，内容涵盖 MetaMask 如何做出用户体验安全决策、大多数黑客攻击是否应归咎于用户自身，以及诈骗谣言是如何产生的。

KyberSwap 攻击者要求获得协议控制权，以换取归还 4600 万美元被盗资产

KyberSwap 4600 万美元漏洞攻击事件的幕后黑手要求获得 KyberSwap 协议的"完全执行控制权"，以此作为归还被盗资金的条件。在一条链上消息中，黑客的条件包括：对 KyberDAO 治理机制拥有完全权力、获得所有公司相关文件和资产的所有权，同时承诺将员工薪资翻倍、提供 12 个月遣散费，并确保代币持有者的投资不会归零。由于谈判和执法调查仍在进行中，用户应警惕自称代表 KyberSwap 团队的诈骗者，关注 KyberSwap 官方渠道获取最新动态，并切记不要投入超出自身承受能力的资金——将代币委托给第三方始终存在风险。

HTX 交易所 HECO 跨链桥遭攻击，损失约 8700 万美元

HTX 交易所（前身为火币）遭遇安全漏洞，损失约 8700 万美元加密资产——HTX 与以太坊之间的跨链桥遭到攻击，大量以太币（ETH）、泰达币（USDT）和封装比特币（HBTC）被转移至一个闲置的以太坊钱包。安全公司 CertiK、PeckShield 和 Cyvers 认为，该跨链桥的私钥很可能已遭泄露，HTX Global 的两个热钱包也出现资金损失。此次事件延续了与 HTX 董事会成员 Justin Sun 相关项目的安全问题规律，包括此前他收购的 Poloniex 交易所发生的约 1 亿美元漏洞攻击事件。两次攻击是否直接相关尚未得到证实。Sun 表示，"HTX 将全额赔偿 HTX 热钱包的损失"，并称 HTX 中的资金是安全的。提醒协议运营者认真对待钱包安全与监控工作，包括采用多重签名（multisig）钱包，以及对非多签钱包实施严格的私钥管理。

Tether 开始将 OFAC 列名地址加入黑名单

Tether 推出了一项新政策，通过自愿将美国 OFAC 特别指定国民（SDN）名单上的 USDT 地址列入黑名单来加强生态系统安全，使其稳定币与制裁执行机制更加紧密地接轨。

MetaMask 2023 年 12 月加密安全报告涵盖了 KyberSwap 攻击者要求获得协议控制权以换取 4600 万美元的事件、Justin Sun 旗下 HTX 交易所 HECO 跨链桥约 8700 万美元的黑客攻击，以及导致用户损失超过 61 万美元的 Ledger Connect Kit 软件供应链攻击。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。