加密安全报告：2022年7月

每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。

2022 年 7 月，LavaMoat 项目发布了三款实验性浏览器防御工具——Securely、Snow 和 Across——以抵御原型污染和跨域 JavaScript 攻击，同时 Endo 项目完成了其长期运行的 CommonJS 支持路线图。在威胁方面，MetaMask 安全研究员 harry.eth 发现了一场伪造 $UNI 空投的钓鱼攻击，共有 73,399 名 Uniswap 流动性提供者受害，损失约 800 万美元；此外还出现了一种 YouTube 骗局，通过推广伪造的 MEV 抢跑机器人，利用混淆的 Solidity 合约盗取用户存入的 ETH。MetaMask 还发布了一份关于如何在 Discord、Twitter 和 Telegram 上防范 NFT 诈骗的指南，其 HackerOne 漏洞赏金计划也持续接受报告。完整详情如下，但首先……

本期 STEM 先驱人物：Ralph Merkle——密码学哈希与 Merkle 树的发明者

Ralph Merkle 于 20 世纪 70 年代与 Whitfield Diffie 和 Martin Hellman 共同发明了公钥密码学，并在加州大学伯克利分校就读本科期间独立提出了 Merkle 谜题。他于 1979 年在斯坦福大学完成的博士论文引入了 Merkle 树（哈希树）和 Merkle-Damgård 构造，这一构造是区块链验证、数字签名以及自托管钱包软件所依赖的完整性校验中所使用哈希函数的基础。Merkle 于 2010 年荣获 IEEE Richard W. Hamming 奖章，并于 2011 年入选美国国家发明家名人堂。

LavaMoat 发布 Securely、Snow 和 Across，提供浏览器级 JavaScript 防御

MetaMask 的开源 LavaMoat 项目发布了 3 款实验性工具，旨在保护基于浏览器的应用程序免受 JavaScript 供应链攻击：

Securely 可保护对原生浏览器 API（如 fetch）的独占访问权限，即使在同一执行上下文中运行的第三方代码通过原型污染或中间人浏览器（MITB）技术对其进行了篡改，也能确保安全。Snow 会拦截 Web 应用程序中每个新创建的 iframe 或域，并对其应用与顶层窗口相同的安全策略，从而封堵攻击者通过生成新 iframe 获取未被篡改的 API 引用这一常见手段。Snow 基于 Securely 构建。Across 在附加到同一 DOM 的两个脚本之间建立安全通信通道，通过其源 URL 进行标识，无需服务器端中介。Across 同时使用 Securely 和 Snow 来保护该通道。

三款工具均以实验性版本发布。Securely、Snow 和 Across 均提供演示版本。

Endo 完成 CommonJS 支持路线图的最终修复

Endo 项目合并了 CommonJS 模块支持的最终修复，并关闭了自 2022 年初开放的 CommonJS 支持跟踪问题（endojs/endo #1055）。TC39 模块规范的持续推进引发了关于虚拟化模块加载器是否应支持导入具有特定 getter 和 setter 要求的 CommonJS 模块的讨论。该领域的进一步研究可能会推动 Endo 的 CommonJS 支持发生额外变更，或将其定位为该规范的先行技术参考。

伪造 $UNI 空投钓鱼攻击波及 73,399 个 Uniswap LP 地址

2022 年 7 月 11 日，我们的安全研究员 harry.eth 发现了一场钓鱼攻击活动，攻击者向 73,399 个地址发送了恶意代币，这些地址均曾在 Uniswap 上提供流动性，攻击者以此冒充 $UNI 空投。攻击源自地址 0xcf39b7793512f03f2893c16459fd72e65d2ed00c，在被发现前约两小时开始。与该代币交互的用户会被提示签署 setApprovalForAll() 交易，从而授予攻击者提取其 LP 仓位的权限。此次攻击最终从受害者处盗取了约 800 万美元。该漏洞并非存在于 Uniswap 协议本身。

YouTube MEV 抢跑机器人教程被用于盗取加密货币

2022 年 7 月，我们的安全研究员 harry.eth 还发现了一场在 YouTube 上流传的骗局教程，该视频在一个拥有 26,400 名订阅者的频道上获得了 97,000 次观看。这些视频通常以"如何在 Uniswap 上每天赚取 $XXX"为标题，指导用户部署一个被描述为 MEV 抢跑机器人的 Solidity 合约。所部署的合约包含混淆代码，一旦充值，便会将存入的 ETH 直接转入攻击者的钱包。该骗局利用合法的 MEV 术语来制造可信度。

MetaMask 发布 NFT 诈骗防范指南

我们发布了一篇关于如何防范 NFT 诈骗的支持文章，涵盖了 Discord、Twitter 和 Telegram 上的常见攻击手段——诈骗者利用 NFT 社区频道对持有者实施钓鱼攻击。文章涉及恶意铸造链接、虚假空投公告、被盗社区管理员账户以及基于私信的社会工程学攻击。主要建议包括：对照官方项目网站核实 URL、在社区 Discord 中关闭私信功能，以及将钱包中意外出现的 NFT 视为潜在的钓鱼攻击载体。

HackerOne 漏洞赏金计划更新

我们在 HackerOne 上的漏洞赏金计划持续接受报告，涵盖 MetaMask 扩展程序（GitHub 仓库）和 MetaMask 移动端（GitHub 仓库）。

MetaMask 2022 年 7 月加密安全报告涵盖以下内容：LavaMoat 发布三款针对原型污染和跨域 JavaScript 攻击的实验性浏览器防御工具——Securely、Snow 和 Across；一场伪造 $UNI 空投的钓鱼攻击波及逾 73,000 个 Uniswap LP 地址，损失约 800 万美元；以及利用混淆 Solidity 合约盗取存入 ETH 的 YouTube MEV 机器人教程骗局。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。