每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
2024 年 2 月，MetaMask 安全更新内容丰富。Blockaid 驱动的安全警报已在多个以太坊网络上默认启用，我们还为开源工具包 LavaMoat 新增了深度 LavaDome 防御功能，以抵御供应链攻击。在更广泛的生态系统层面，安全联盟（SEAL）正式公开亮相，旗下涵盖 SEAL 911 以及全新的白帽安全港协议。在威胁方面，攻击者劫持了 MicroStrategy 的 X 账户，实施了一起价值 44 万美元的网络钓鱼盗窃案，研究人员还将另外 620 万美元的盗窃事件与 2022 年 LastPass 数据泄露事件相关联。完整详情见下文，但首先……
Granville T. Woods（1856–1910）是美国多产发明家和电气工程师，持有近 60 项专利，其中最著名的是同步多路铁路电报——一种感应电报，使行驶中的列车与车站之间能够实时通信，极大地提升了铁路安全性。他常被称为"黑人爱迪生"，所构建的系统将可靠通信本身作为一种安全机制，这一原则与当今安全可信基础设施的核心理念一脉相承。
MetaMask 将 Blockaid 驱动的安全警报集成到钱包中，并在多个以太坊虚拟机（EVM）网络上自动启用，以应对日益严峻的恶意交易问题。新的安全警报为数百万 MetaMask 用户提供了额外保护，抵御在 2023 年愈发猖獗的加密网络钓鱼攻击。可以将 Blockaid 驱动的警报视为保护用户免受诈骗的又一工具，与基本安全习惯配合使用效果最佳。它们为抵御恶意交易增添了一道真实防线，与安全 Snaps 搭配使用，还能呈现 MetaMask 原生界面未显示的交易详情。但任何自动化工具都无法阻止社会工程学攻击，因此基本安全习惯至关重要——包括不安装未经验证的软件、警惕私信中冒充客服的人员、对过于完美的网络形象保持怀疑，以及绝不向任何网站或任何人泄露您的私钥或助记词。
自托管是指选择自行持有密钥，而非将其交给第三方，这将资金安全的责任掌握在您自己手中。这份责任是真实存在的：创建 MetaMask 钱包历来所需的 12 个单词助记词，既难以保密，又难以妥善保管。因此，MetaMask 正在扩展账户管理方式，同时保持自托管属性。它推出了账户管理 Snaps，为构建此类解决方案的团队提供了一条无需许可的路径，将其交付给 MetaMask 用户。2024 年 2 月，MetaMask 扩展程序中正式上线了 Keyring API，供开发者实现自己的账户管理方案。用户可试用实验性测试版中的首批三款 Snaps：Silent Shard、Safeheron 和 Capsule，欢迎通过反馈页面提交意见。
LavaDome 是 LavaMoat 供应链安全工具箱中最新的实验性工具。它利用 Shadow DOM Web API，可实现仅前端组件，只允许用户和受信任代码进行交互，同时阻止不受信任的 JavaScript 和 CSS 的访问尝试。其目标是纵深防御：即便所有其他防护措施均已失效，也能保护 LavaMoat 保护的应用中所显示的最关键内容。
安全联盟（SEAL）是网络安全社区为提升加密生态系统整体安全性而发起的联合行动，于 2024 年 2 月 14 日正式公开亮相。此前，该组织一直低调运作，主导推进了 SEAL 911（由顶尖安全专家组成的快速响应帮助台）和 SEAL Drills（攻击模拟演练）等项目。SEAL 还宣布推出白帽安全港协议，这是一套面向道德黑客和最大可提取价值（MEV）机器人的框架，适用于主动介入公开安全事件的情形——在攻击正在进行的前提下，允许其提前处置漏洞，并将追回的资金转移至指定地址。正如 SEAL 联合创始人 samczsun 所宣布的，该团队在公开亮相前已私下推进上述安全举措约一年半时间。
MicroStrategy 官方 X 账户于 2024 年 2 月 26 日遭到黑客攻击，被用于推广虚假的以太坊 MSTR 代币空投活动，PeckShield 随即向用户发出钓鱼链接警告。此次事件导致约 44 万美元资金被盗，据报道其中大部分来自单一受害者。攻击者在转移资金的同时，在其地址中留下了约 19.5 万美元价值的以太坊。截至撰写本文时，攻击者身份尚未确认，但多位研究人员开始将其归因于 Pink Drainer。
与此前 Vitalik Buterin 的 X 账户遭黑客攻击事件一样，即便是受信任的社交媒体账户也可能遭到入侵。请务必养成习惯：在点击链接或签署交易前先暂停确认，将大额资金存放在硬件钱包中，并针对不同风险级别使用不同类型的账户和钱包。
在与 LastPass 攻击事件相关的最新盗窃案中，超过 22 名受害者在 2024 年 2 月 19 日至 20 日期间合计损失 620 万美元，被盗资金随即从 EVM 网络迅速转移至比特币。为协助追踪和归因，ZachXBT 和 Taylor Monahan 在一份 Chainabuse 报告中记录了攻击者使用的链上地址。该公开记录标记了持有被盗资金的钱包，以便交易所、钱包及其他服务对其进行监控、冻结或封锁，并在潜在受害者与攻击者账户发生交互前及时发出警告。
自 LastPass 原始数据泄露事件发生以来，社区成员——包括将助记词存储在 LastPass 中的协议创始人、投资者、开发者和用户——已损失逾 1000 万美元。任何在 2022 年 12 月黑客攻击事件发生前使用过 LastPass 的用户，都应将其存储的密钥视为已处于风险之中，及时将余额转移至新钱包，并将大额资金迁移至经过验证的硬件钱包，以实现安全的离线存储。
MetaMask 2024 年 2 月加密安全报告涵盖以下内容：Blockaid 驱动的安全警报在多个网络上成为默认设置、账户管理 Snaps 和 Keyring API 正式上线、安全联盟（SEAL）公开亮相，以及 MicroStrategy X 账户遭黑客攻击导致 44 万美元被盗、与 LastPass 相关的盗窃事件持续造成 620 万美元损失。浏览往期 MetaMask 加密安全报告，了解更多威胁动态、行业趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
