加密安全报告：2023年7月

每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。

2023 年 7 月，MetaMask 安全团队在 DeFi 安全峰会上发布了 Menpo——一套用于归类 DeFi 事件的 STIX 2.1 标准；与此同时，Gal Weizman 完成了关于 LavaMoat 的 scuttling 和 Snow 如何强化供应链安全的三部曲 X 系列，LavaMoat 也推进了其 ScorchWrap webpack 插件及 EIP-4361 相关工作。在威胁层面，本月报告还揭露了滥用代币授权的"杀猪盘"（shāz hū pán）和虚假挖矿骗局、一种利用空投 gas 代币实施虚假授权的新型骗局，以及 Lazarus Group 针对加密货币和安全开发者传播 npm 恶意软件的社会工程学攻击活动。完整内容详见下文，但首先……

STEM 先驱人物特写：Josephine Jue，NASA 数学家与航空航天技术专家

Josephine Jue 是 NASA 的数学家与航空航天技术专家，被誉为 NASA"幕后英雄"之一，也是最早在 NASA 载人航天中心担任程序员的亚裔美国女性之一。她为阿波罗计划的软件开发做出了重要贡献。她的工作对早期关键任务软件所要求的精确性与可靠性，正是值得信赖的系统至今仍依赖的标准。

MetaMask 在 DeFi 安全峰会上发布 Menpo——一套 STIX 2.1 DeFi 事件数据库

在 DeFi Security Summit 2023 上，Herman Junge 发布了 Menpo——这是 MetaMask 安全团队正在构建的一个项目，旨在利用 STIX 2.1 标准化 DeFi 事件的归类工作。该项目由 Junge 主导发起，旨在促进安全分析师和研究人员之间的跨组织协作，共同丰富共享威胁情报生态。

Gal Weizman 完成关于 LavaMoat 的 scuttling 与 Snow 的三部曲 X 系列

延续上月博客的主题，Gal Weizman 完成了他的三部曲 X 系列，详细阐述了 LavaMoat 的 scuttling 和 Snow 如何强化 MetaMask 的供应链安全，以及如何为其他应用提供同等保护。Scuttling 使应用的 window 对象对注入代码几乎不可用，从而封堵了浏览器攻击的常见入口。

LavaMoat 更新 ScorchWrap、测试 Snow 与 CSP 的兼容性，并参与 EIP-4361 讨论

ScorchWrap webpack 插件现已使用 @lavamoat/aa 来识别依赖项中的包，并在导入时执行策略，但针对 webpack 模拟内置模块（如 buffer 和 crypto）仍需进一步完善。团队还尝试通过内容安全策略（CSP）建议为 Snow 提供支持，但发现 iframe srcdoc 上的 CSP 效果不尽如人意；下一步计划包括限制接受文本字符串输入的 DOM API，以提升安全性。LavaMoat 参与了关于 EIP-4361 中更明确的 scheme 处理方式的讨论，并提出了一种来源验证算法，最终合并了 Endo 中的 exitModules hook。此外，Zibi 正在 DefCon 的 AppSec Village 主持一场防御性编码工作坊。

2022–2023 年杀猪盘骗局数据汇总至 Dune 仪表板

长线骗局正呈上升趋势——不法分子以投资回报为诱饵，诱使受害者放松警惕。这类骗局通常带有情感操控的成分，起源于中国，被称为"杀猪盘"（shāz hū pán），因为骗子会先"养肥"目标，再进行"宰杀"。MetaMask Security 的 Taylor Monahan 整理了一个 Dune 仪表板，用她自己的话说，该仪表板"试图通过直接从区块链提取的真实数据以及受害者亲口讲述的故事，呈现这些骗局的规模"，并指出"这些骗子让更多人接触到加密货币，比任何合法的加密机构都多——目的只有一个：骗走他们的钱。"

虚假挖矿骗局利用代币授权漏洞，Consensys 发布详细解析

Consensys 博客发布了 Joel Willmore 撰写的文章《虚假"挖矿"骗局：换汤不换药的老把戏》，详细解析了 USDT 授权挖矿和流动性挖矿骗局的运作方式、识别方法，以及如何通过了解和保护代币授权来保障资产安全。文章还附有 Harry Denley 制作的 Dune 仪表板，用于追踪相关骗局动态。如需更简洁的概览，MetaMask 还发布了一篇关于虚假挖矿凭证骗局的支持文章。

Revoke.cash 警告：利用空投 gas 代币实施虚假授权的新型骗局

Revoke.cash 披露了一种新型虚假授权骗局：骗子通过空投"gas 代币"，诱使用户误以为存在可疑授权需要撤销。这些伪造代币被设计为在撤销交易过程中铸造大量 gas 代币，随后转入攻击者账户并出售套现。由于钱包弹窗仅显示高额手续费，而非资金转出，这种盗窃行为极易被忽视。对此，Revoke.cash 新增了一项检测机制，当 gas 费用异常高昂时将禁用授权撤销功能，并建议用户忽略携带极高 gas 费用的意外交易。

Lazarus Group 发起社会工程学攻击，通过 npm 恶意软件针对开发者

据 Socket 报道，Lazarus Group 发起了一场精心策划的社会工程学攻击活动，以加密货币和网络安全领域的开发者为目标，利用被盗账户和携带恶意软件的 npm 包实施攻击。该报告详细说明了攻击链的运作方式、防御建议，并列出了已知的恶意 npm 包。

Immunefi 发布 Web3 十大常见漏洞清单

Immunefi 发布了 Web3 十大常见漏洞的详细梳理，涵盖开发者和审计人员在构建安全、健壮合约时应重点关注的智能合约漏洞类型。

Taylor Monahan 分享钱包安全建议：硬件钱包、纸质备份与分散存储

Taylor Monahan 分享了在使用 Web3 钱包时保障资产安全的实用建议：使用硬件钱包、将助记词（Secret Recovery Phrase）写在纸上这一低技术含量的最佳实践，以及分散存储资产的策略。

Chainalysis 年中更新：加密犯罪下降 65%，勒索软件持续攀升

Chainalysis 发布了其年中加密犯罪报告，报告显示加密相关犯罪整体下降约 65%，但定向勒索软件攻击呈上升趋势。

MetaMask 2023 年 7 月加密安全报告深入剖析了滥用代币授权的杀猪盘和虚假挖矿骗局、利用空投 gas 代币实施虚假授权的新型骗局，以及 Lazarus Group 针对加密货币和安全开发者传播 npm 恶意软件的社会工程学攻击活动。浏览 MetaMask 加密安全报告往期内容，了解更多威胁动态、趋势分析及生态安全防护建议。