每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
2023 年 1 月，MetaMask 的 LavaMoat 扩展了其安全工具箱——推出了用于递归对象图分析的 LavaTube，新增了 VR 依赖项浏览器，将全局清除功能纳入 MetaMask Extension 开发分支，并发布了对 Snow 的跨浏览器支持——与此同时，Endo 将其 LavaMoat 风格的策略支持推进至最终审查阶段。在威胁方面，地址投毒诈骗通过在受害者的交易历史中植入相似地址而逐渐盛行，安全研究人员将只读重入攻击列为新兴的 DeFi 攻击向量，并就隐藏在虚假游戏下载中的远程访问木马以及通过虚假钱包网站利用的 Chrome 漏洞发出了警告。完整分析如下，但首先……
Joan Clarke（1917–1996）是已知唯一能够执行 Banburismus 的女性——这是由 Alan Turing 开发的一种序列贝叶斯密码分析方法，用于在二战期间减轻布莱切利园 Enigma 解密机的工作负荷。Clarke 从看似随机的数据中识别细微统计规律的能力，与自托管钱包用户在地址投毒攻击中区分合法地址与几乎相同的伪造地址所面临的挑战如出一辙。Clarke 因其对战时情报工作的贡献，于 1946 年荣获 MBE 勋章。
进入 2023 年，地址投毒作为一种诈骗手段愈发盛行。攻击者生成与目标用户合法联系人地址开头和结尾几个字符相同的钱包地址，然后向目标发送零价值或极小金额的代币转账。这些交易会出现在受害者的交易历史中，当受害者随后从历史记录中复制地址时——仅依靠匹配首尾字符而非核验完整字符串——便会在不知情的情况下将资金发送给攻击者。该诈骗手法利用了用户在实际操作中无法记忆完整 42 位十六进制地址的困难，以及只核验地址前缀和后缀这一普遍习惯。
编者注： MetaMask 地址投毒检测现已面向所有用户正式上线。
只读重入攻击——经典重入攻击的一种变体——在 2023 年 1 月引发了 Solidity 开发者的广泛关注。与针对状态修改函数的传统重入攻击不同，只读重入攻击利用的是报告价格或余额的 view 函数。在状态变更交易的回调窗口期间，攻击者触发对某个 view 函数的读取，该函数返回过时或不一致的数据，而依赖这些数据进行价格预言机或抵押品计算的协议便会基于被操纵的价格执行操作。安全研究员 bytes032 于 2023 年 1 月 20 日发布了一篇广泛传播的分析帖，深入剖析了该漏洞，并通过新成立的 Web3Security DAO 对外发布。
LavaMoat 推出了 @lavamoat/lavatube——一款能够从给定起始引用出发，递归访问 JavaScript 对象图中每个值的每个属性的工具。MetaMask 安全研究团队使用 LavaTube 识别危险的引用泄漏——即原本应被隔离的对象或 API 在其所保护的应用中意外暴露出通往强大全局变量或敏感数据的路径。
@lavamoat/viz 新增了 VR 模式，允许开发者在沉浸式三维环境中探索项目的依赖关系图。与此同时，全局清除功能——在 LavaMoat 捕获强大内置函数以供基于策略的授权使用后，将其从 window 对象中移除——已被引入 MetaMask Extension 开发分支。一旦正式发布，即便是恶意的 React 组件访问 window 对象，也会发现那些强大的函数已不复存在。@lavamoat/snow 作为 LavaMoat 的 realm 安全工具，在最新版本中也新增了对所有主流浏览器的支持，使 MetaMask 能够全面掌握 Chrome 和 Firefox 上所有 realm 的情况。
Endo 项目的首个 LavaMoat 风格策略支持迭代版本已进入最终审查阶段。与 LavaMoat 策略完全对齐仍有少量功能有待完善，但不计划引入任何破坏性变更。一个无需依赖 eval 即可控制作用域的安全打包工具早期实现也正在审查中——这消除了 JavaScript 模块系统中一个常见的攻击面。
2023 年 1 月 17 日，MetaMask 安全研究员 harry.eth (@sniko_) 就远程访问木马（RAT）通过虚假游戏下载传播的预期复苏趋势发出警告。该社会工程学攻击模式为：攻击者伪装成某元宇宙游戏项目的代表，以免费代币为诱饵，邀请用户"测试"一款实为 RAT 安装程序的游戏客户端。一旦安装，RAT 即可赋予攻击者对受害者设备的完全远程访问权限，通常随后会发动 DeFi 钓鱼攻击以盗取代币。
Wallet Guard 在记录了一个可被用于窃取加密钱包数据的 Google Chrome 漏洞后，警告用户下载时务必谨慎。该漏洞已于 2022 年 11 月 29 日在 Chrome 108 中修复，攻击者需诱使受害者访问虚假加密钱包网站并"下载"其助记词，随后便可利用符号链接文件实施攻击。核心建议：切勿从不可信来源下载随机文件。
MetaMask 2023 年 1 月加密安全报告涵盖了以下内容：在交易历史中植入相似地址的地址投毒诈骗、作为独特 DeFi 攻击向量崭露头角的只读重入攻击，以及 LavaMoat 推出的用于发现 JavaScript 对象图中危险引用泄漏的 LavaTube。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
