每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2024 年 7 月，MetaMask 的 HackerOne 漏洞赏金计划获得了 HackerOne 创始人的高度赞扬，与此同时，Security Lab 的 Zbigniew Tenerowicz 和 Gal Weizman 将 LavaMoat、LavaDome 和 DOM 隔离技术带到了 x33fcon、BlueHatIL 和 OWASP 大会。此外，MetaMask 的 Realms Initialization Control 提案正式进入孵化阶段。在威胁方面，WazirX 因多签漏洞损失逾 2.3 亿美元，Squarespace 的安全漏洞导致行业内多个域名遭到劫持，Ethereum.org 邮件列表泄露事件使 35,000 名用户面临资产清空攻击，FBI 也就日益猖獗的加密货币求职诈骗发出警告。完整详情见下文，但首先……
César Milstein（1927–2002）是阿根廷生物化学家，因开发单克隆抗体生产技术而与他人共同荣获 1984 年诺贝尔生理学或医学奖。抗体是免疫系统的精准工具——经过特异性设计，能够识别并中和特定威胁——而 Milstein 的研究使大规模、可靠地生产抗体成为可能。这种有针对性、可重复的威胁检测理念，正是现代安全工具所追求的目标。
MetaMask 的漏洞赏金计划获得了 HackerOne 两位创始人 Jobert Abma 和 Michiel Prins 的公开称赞，表彰其迅速采纳了两项新政策改进——Open Scope（根据影响范围对 MetaMask 所有资产的报告给予奖励）和 Fast Payment（承诺在收到报告后一个月内完成赔付）。在过去 90 天内，该计划共收到 120 份报告，从提交到赏金发放的平均时间为 3 天 15 小时，迄今已累计支付 266,000 美元。MetaMask 向其研究员社区致谢，包括 pkkr、imnarendrabhati、p1security、Nicocha30、T41nk、René Kroka、renniepak、hackerOnTwoWheels 和 redyetihacks，并欢迎任何发现漏洞的人通过其 HackerOne 计划进行报告。
MetaMask Security Lab 的 Zbigniew Tenerowicz 再度出击！2024 年 6 月，ZB 参加了 x33fcon——一个"红蓝相遇"的 IT 安全专业人士聚会，发表了一场闪电演讲，并主持了一场防御性编码工作坊。这是他持续推广供应链安全——LavaMoat 核心关注点——的最新举措。他的演讲和一段采访现已公开发布。
同样来自 MetaMask Security Lab 的 Gal Weizman 在微软 BlueHatIL 大会和 OWASP 里斯本全球 AppSec 大会上就 DOM 隔离和 LavaDome 项目发表演讲，探讨了保护中心化与去中心化架构之间的差异如何推动 Web 应用安全边界的拓展。此外，他还报告称，MetaMask 提交的 Realms Initialization Control 提案已获 Web Incubator Community Group 批准进入孵化阶段。该提案的实施最终将为 Snow 项目最初致力于解决的"同源问题"提供一个原生的浏览器级解决方案——这是解决复杂客户端 Web 安全问题的重要一步。
MetaMask Security 的 Taylor Monahan 深入研究了一项名为 TraderTraitor 的新行动，该行动由与朝鲜有关联的高级持续性威胁（APT）组织 Lazarus 的成员发起。TraderTraitor 利用鱼叉式网络钓鱼攻击加密货币公司员工，窃取数百万资产。Monahan 警告称，加密货币行业中任何层级的从业者都应将自己视为潜在目标。她的建议是：消除单点故障，使用硬件钱包和硬件 MFA，不要运行或构建来自陌生人的代码，使用不同设备分别处理通信和加密货币访问，从他人的错误中吸取教训，教育身边的人，并保持警惕。
颇具讽刺意味的是，臭名昭著的 Pink Drainer 诈骗团伙沦为地址投毒诈骗的受害者，因被诱骗将资金发送至一个与合法地址高度相似的伪造地址，损失约价值 30,000 美元的以太币。加密货币合规公司 MistTrack 报告了这一事件，并指出骗子被骗的讽刺之处。Pink Drainer 此前刚于 2024 年 5 月宣布退出，此前已从加密货币钱包中窃取了数百万资产。
2024 年 7 月 2 日，Ethereum 报告其邮件列表遭到入侵，超过 35,000 名用户面临网络钓鱼攻击。攻击者发送了一封伪装成与 Lido DAO 合作的电子邮件，引导收件人访问一个承诺质押以太坊高额回报的网站，而该网站实为资产清空工具。Ethereum 安全团队迅速阻断了攻击，向社区发出警报，并将恶意链接提交至封锁名单；未有损失报告，Ethereum 已开始迁移电子邮件服务以增强安全性。
事件经过 研究人员发现，Squarespace 域名注册流程中薄弱的安全默认设置使攻击者得以劫持域名。验证机制不足以及在未经适当身份验证的情况下即可更改域名设置，使攻击者得以控制域名、重定向流量，并可能窃取敏感信息。在其事件事后分析报告中，Squarespace 将原因归结为与 OAuth 相关的安全弱点，表示已修复该问题，并报告未发现其他入侵事件。经过行业协调一致的响应后，samczsun——联合 MetaMask Security 的 Taylor Monahan、AndrewMohawk 及其他人——发布了一份事后回顾报告。
用户如何保护自己 用户应通过启用双因素身份验证（2FA）并移除不必要的协作者来加固其 Squarespace 账户，并考虑选择支持硬件令牌 2FA 的域名注册商。
印度加密货币交易所及交易平台 WazirX 的一个多签（multisig）钱包遭受网络攻击，损失逾 2.3 亿美元。该钱包通过 Liminal 的数字资产托管服务进行管理，需要多名签署人——三名来自 WazirX，一名来自 Liminal——但攻击者利用了 Liminal 界面显示内容与交易实际内容之间的差异，可能通过替换有效载荷将控制权转移给攻击者。此次事件再次提醒人们：托管解决方案控制着资金的提取，而只有用户自己才能通过自托管钱包控制资金。WazirX 正在发起一项最高 2,300 万美元的赏金计划，以协助识别、追踪和追回被盗资金。
2024 年 6 月，美国联邦调查局（FBI）发布了一则公共服务警告，提醒公众警惕加密货币求职诈骗——诈骗者伪装成合法雇主，以虚假工作机会诱骗受害者。本月，该机构进一步深入介绍了这类求职诈骗的运作方式及需要注意的迹象。这类诈骗通常通过说服受害者开设加密货币账户或转移资金来实施，最终窃取其钱财。FBI 建议求职者对主动发来的工作邀约保持警惕，核实雇主的合法性，并避免向未经核实的来源透露个人或财务信息。此类诈骗的受害者应向 FBI 互联网犯罪投诉中心（IC3）举报。除针对求职者的诈骗外，企业还应警惕面试过程中的攻击和内部威胁——有报告显示朝鲜特工企图伪装成远程 IT 工作者，以及针对 Mac 设备的虚假求职面试恶意软件，这一风险不容忽视。
MetaMask 2024 年 7 月加密货币安全报告涵盖了 HackerOne 漏洞赏金计划所获得的认可、WazirX 多签漏洞导致逾 2.3 亿美元损失的事件，以及一系列威胁事件，包括 Squarespace 域名劫持漏洞、Ethereum.org 邮件列表泄露事件，以及日益猖獗的加密货币求职诈骗。浏览往期 MetaMask 加密货币安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
