加密安全报告：2023年2月

每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。

2023 年 2 月，MetaMask 默认禁用了 eth_sign，以遏制一波签名钓鱼工具包的攻击浪潮。这一变化可能促使臭名昭著的 Monkey Drainer 组织宣告解散。与此同时，Endo 和 LavaMoat 团队在安全打包、webpack 区间映射插件以及 MetaMask Snaps 加固方面取得了新进展。在威胁层面，Namecheap/SendGrid 数据泄露事件使攻击者得以发送冒充 MetaMask 品牌的钓鱼邮件；一起 Google Fi SIM 卡劫持事件导致受害者的 Coinbase 账户和双因素验证应用遭到入侵；一个通过 Google 广告推广的虚假 EthDenver 网站也被证实与一个臭名昭著的钓鱼钱包存在关联。完整分析见下文，但首先……

本期 STEM 先驱人物：生物发光研究者、NASA 科学家 Emmett Chappelle

Emmett Chappelle（1925–2019）是一位美国生物化学家，以其在生物发光领域的研究而享誉学界。他开发了一系列利用发光反应检测细菌及生命迹象的方法，使原本肉眼不可见的存在得以被发现——这些技术后来被应用于 NASA 的地外生命探索及快速污染检测领域。他将微弱信号转化为可靠检测结果的研究思路，与安全领域在危害发生前识别隐藏威胁的日常挑战不谋而合。Chappelle 持有 14 项专利，被誉为 20 世纪最杰出的美国黑人科学家之一。

MetaMask 默认禁用 eth_sign，Monkey Drainer 钓鱼组织随之关闭

MetaMask 观察到大量钓鱼工具包滥用 eth_sign 诱骗用户签署恶意交易的趋势。为在保护用户与保障用户自主权之间取得平衡，MetaMask 默认禁用了 eth_sign，同时在高级设置中保留了开关，供仍有需求的用户使用，详情参见扩展程序 PR。MetaMask 技术支持工程师 Devin Shin 报告称，他在实际操作中验证了这一变化的效果：在调查某用户遭遇的诈骗网站时，"什么都没有发生"，控制台日志显示该网站曾尝试触发 eth_sign 交易，但因近期的变更而失败。月底，这一变化可能间接促成了 NFT 钓鱼组织 Monkey Drainer 的终结——@0xFantasy 指出，该组织已于 2023 年 2 月 28 日由其所有者宣布关闭。

Namecheap 与 SendGrid 数据泄露事件中，攻击者发送冒充 MetaMask 品牌的钓鱼邮件

攻击者发送了冒充 MetaMask 品牌的钓鱼邮件，要求收件人输入其助记词（Secret Recovery Phrase）。为应对此次诈骗，我们于 2023 年 2 月 12 日在 Twitter 上标记了这一高关注度钓鱼事件，并提醒用户：MetaMask 绝不会要求您提供助记词或私钥。

此次数据泄露并未直接影响 MetaMask；攻击者是通过 Namecheap 域名发送了上述邮件。Namecheap 最初将此事件归因于其上游服务商 SendGrid，随后在其 Twitter 账号发布了声明，但截至 2023 年 2 月 28 日，两份声明均已被撤回。Bleeping Computer 对此事件进行了报道。

Endo 将安全打包拆分为两个阶段，并为全局变量新增策略衰减功能

Endo 项目采用了一种新的安全打包方案，将工作拆分为两个阶段，以便更好地融入现有生态系统：第一阶段，通过 webpack 等现有工具的插件生成区间映射和转换后的源代码，并将其保存为应用归档；第二阶段，打包工具将该应用归档转换为安全的打包文件。这种拆分方式降低了支持新打包工具的工作量，也降低了破坏打包工具安全性的风险。Endo 还在策略中为全局变量新增了衰减功能，为区间映射器与 LavaMoat 策略实现完全兼容奠定了基础，其中包括一个实现"写入"全局策略的概念验证衰减器。

LavaMoat 启动 webpack 区间映射插件开发，并修复 Snow 绕过漏洞

LavaMoat 启动了webpack 插件的初步开发工作，用于生成兼容 Endo 的区间映射。与此同时，@lavamoat/snow 禁止从 Blob 和 File 对象创建 URL 对象，以防止其领域保护机制被绕过。

LavaMoat 加固 MetaMask Snaps 并研究 Chrome iframe 沙箱机制

LavaMoat 团队协助加固了暴露给 MetaMask Snaps 的功能，并对 Chrome 中 iframe 沙箱机制的意外副作用进行了深入研究。

Google Fi SIM 卡劫持攻击导致受害者 Coinbase 账户及双因素验证应用遭入侵

在又一起 SIM 卡劫持事件中，一名 Google Fi 用户的 Coinbase 账户和双因素验证应用遭到攻击者劫持，据 TechCrunch 报道，Google Fi 告知该用户，黑客窃取了部分客户信息，此事可能与近期 T-Mobile 的数据泄露事件有关。目前情况似乎已得到解决，但受影响用户的手机号码是否仍处于安全状态，仍是一个悬而未决的问题。TechCrunch 对此事件进行了详细报道。

虚假 EthDenver 2023 网站通过 Google 广告推广，被证实与臭名昭著的钓鱼钱包存在关联

在 EthDenver 2023 这一以太坊生态最重要的活动之一即将举办之际，一个通过 Google 广告推广的虚假以太坊丹佛网站被证实与一个臭名昭著的钓鱼钱包存在关联。此案再次提醒我们：在访问加密货币及活动相关网站时，切勿轻信 Google 广告的搜索结果。

MetaMask 2023 年 2 月加密安全报告涵盖以下内容：MetaMask 在 Monkey Drainer 钓鱼组织关闭之际默认禁用 eth_sign；Namecheap 与 SendGrid 数据泄露事件被用于发送冒充 MetaMask 品牌的钓鱼邮件；以及 Google Fi SIM 卡劫持攻击导致受害者 Coinbase 账户及双因素验证应用遭入侵。欢迎浏览往期 MetaMask 加密安全报告，了解更多威胁动态、趋势分析及生态安全防护建议。