每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
2024 年 6 月，Consensys 收购了 Wallet Guard，以强化 MetaMask 的诈骗和资产耗尽检测能力；MetaMask 更新了隐私政策，提升透明度并赋予用户更多控制权；LavaMoat 推出了全新网站。与此同时，Security Alliance 为白帽研究人员设立了法律辩护基金。在威胁方面，与朝鲜关联的 APT 组织持续以加密从业者为目标实施就业诈骗，一名用户因签名钓鱼损失 1100 万美元，CoinGecko 的电子邮件服务商遭遇数据泄露并发送了数万封钓鱼邮件，恶意 Chrome 扩展 Aggr 通过窃取交易所 Cookie 盗取了逾 100 万美元。完整详情见下文，但首先……
Ben Barres（1954–2017）是一位美国神经生物学家，其研究对揭示胶质细胞与神经系统中神经元的相互作用具有重要意义——他证明了大脑中长期被忽视的"支持"细胞实际上对大脑的运作和自我防御至关重要。他也是首位公开跨性别身份并当选美国国家科学院院士的科学家，同时是科学领域平等权益的积极倡导者。他的工作提醒我们：那些在幕后默默承担保护职责的系统，往往才是最重要的。
隐私与安全密不可分，MetaMask 对用户隐私高度重视。本月，秉持知情同意的原则，MetaMask 发布了更新后的隐私政策，向用户说明我们为保障其安全所采取的措施，并为其提供更高的透明度和对个人数据更强的控制权。您可以阅读我们的公告和完整声明，并查阅我们的隐私与安全资源。
MetaMask 仅在部分服务所需的情况下（取决于您的 MetaMask 设置）临时处理您的 IP 地址，以为 MetaMask 用户提供最佳体验。例如，这包括防范 DDoS 攻击。
我们不收集您的私钥。
我们不出售您的个人信息。
我们不收集或保留个人信息，除非为向您提供服务和良好用户体验所必需。
我们不收集金融支付或银行信息。 但当您使用我们的法币入金或出金功能时，相关服务可能需要您向第三方服务商提交此类信息。
我们非常高兴地宣布，出色的 Wallet Guard 团队正式加入 MetaMask，进一步推动我们为用户提供最安全体验的目标。正如公告所述，此次整合"将通过交易验证和客户端启发式分析改善诈骗和资产耗尽检测，从而为用户提供更优质的实时保护，抵御恶意去中心化应用和诈骗，同时保护隐私和自主权，从而增强 MetaMask 的安全性。"
LavaMoat 的所有内容现已汇聚于 lavamoat.github.io，包括一段介绍视频，讲解这套开源工具集如何保护 JavaScript 项目免受供应链攻击。MetaMask 的 Zbigniew Tenerowicz 还将他前一年夏天在 DEFCON 举办的防御性编程工作坊带到了 Confidence 和 X33FCON 大会，进一步推广 LavaMoat。
MetaMask 与 Wallet Guard 联合出品的安全现状系列最新一期邀请了 Ryan Jones 和 Gal Weizman 与 Ohm 及 Michael 共同探讨交易模拟、互操作性、MetaMask Web，以及如何利用 LavaMoat 防御供应链攻击——同时分享了在加密领域保持安全的常规建议。
美国联邦调查局（FBI）发布了一则公共服务公告，提醒居家求职者保持警惕。公告中虽未特别点名加密和区块链岗位，但 MetaMask 威胁情报与用户安全团队表示，该社区正受到尤为集中的针对。请对主动发来的工作邀约保持高度警惕，切勿点击不明来源消息中的链接或打开附件，若"被要求以向雇主支付加密货币作为工作内容的一部分"，请立即拒绝。大量此类诈骗与高级持续性威胁（APT）组织有关，这些组织通常受国家支持——正如一位招聘负责人 zak 直言不讳地指出："我们最近面试的开发者，几乎每一个都可能是朝鲜人。"加密相关企业在面试求职者时也应格外警惕，因为这已成为一种常见的攻击手段。务必进行严格的面试，包括核实一致的背景信息，并要求求职者开启摄像头。
道德白帽黑客是我们行业的重要基石。这些研究人员在恶意行为者利用漏洞之前发现并负责任地披露漏洞。然而，正如 Security Alliance（SEAL）近期所解释的，Web2 的历史表明，"这项重要工作有时会带来重大法律风险和相应成本，尤其是当其研究和披露行为不受欢迎或遭到误解时。"为此，SEAL 与安全研究法律辩护基金联合发起了一项倡议，为使用白帽安全港协议的符合条件的研究人员提供法律资源。
事件经过
2024 年 6 月 22 日，一名用户签署了多个 permit 钓鱼签名，导致价值 1100 万美元的代币被盗。随后披露，受害者是 MakerDAO 的治理委托人。SEAL 研究员 Pcaversaccio 认为签名钓鱼是我们行业最严峻的问题，指出用户往往忽视警告，也不考虑签名的后果。MetaMask 的 Taylor Monahan 披露，自 2021 年以来，授权钓鱼诈骗造成的损失总额估计超过 6 亿美元。
用户如何保护自己
用户可以通过以下三个关键步骤保护自己。
限制日常浏览所用钱包中的资产数量。一旦签署了恶意签名，损失将被降至最低。
验证签名请求来源的域名，确认其与原始项目的域名一致。一个快捷的方法是访问项目的官方社交媒体或博客页面，核对这些页面上的域名是否与请求中的域名匹配。
验证请求中的代币和地址内容。请求中涉及的代币往往并非您本意发送的代币，支出方地址和/或交易地址也可能与您预期的地址不同。
这些简单的核查步骤有助于防止资金的意外损失。
事件经过
加密货币数据聚合平台 CoinGecko 于 2024 年 6 月 5 日遭遇数据泄露，起因是其第三方电子邮件营销平台 GetResponse 的一个账户被攻破。攻击者访问了近 200 万条联系人信息，并通过另一客户的账户发送了 23,723 封钓鱼邮件，泄露了用户的姓名、电子邮件地址、IP 地址及位置信息——但 CoinGecko 用户账户和密码未受影响。
用户如何保护自己 用户应对任何声称可领取空投或代币的电子邮件保持高度警惕，避免点击不明邮件中的链接或下载附件。加密项目有责任对其合作的第三方供应商所采用的安全控制措施保持严格审查。
事件经过 Aggr 最初以交易数据聚合工具的形式推广，实为一款恶意 Chrome 扩展。2024 年 6 月初，一名 Binance 用户报告损失 100 万美元，SlowMist 将此事追溯至 Aggr 插件。SlowMist 发现，Aggr 窃取了交易者的 Cookie——尤其是与加密货币交易所相关的 Cookie——攻击者利用这些 Cookie 访问中心化交易所（CEX）平台并控制受害者账户。
用户如何保护自己 这一事件的教训是：对您安装的任何软件（包括浏览器扩展）都应保持警惕，并调查开发者背景——优先选择经过验证、信誉良好的开发者，而非无任何记录的匿名账户，并在信任某款应用之前查阅其历史记录。
MetaMask 2024 年 6 月加密安全报告涵盖了 Consensys 收购 Wallet Guard、MetaMask 隐私政策更新，以及一系列威胁事件，包括 1100 万美元签名钓鱼损失、CoinGecko 电子邮件服务商数据泄露，以及盗取逾 100 万美元的恶意 Chrome 扩展 Aggr。浏览往期 MetaMask 加密安全报告，了解更多威胁动态、趋势分析及生态安全建议。
AI 翻译。可能包含错误。请务必核实信息。
