每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
2023 年 3 月，Endo 和 LavaMoat 团队对安全打包方案进行了重新调整——暂停了 webpack-transform 实验，转而采用 webpack loader——同时将全局 scuttling 扩展至子 realm，并恢复了 MetaMask 移动应用的 React Native 支持。MetaMask 还分享了 EthDenver 季的两场演讲：联合创始人 Dan Finlay 介绍 Delegatable，安全研究员 Gal Weizman 讲解 JavaScript realm 与 Snow。本月最值得关注的教训是：对空投保持警惕——围绕 Arbitrum 领取活动的诈骗大幅增加，约 2,400 个钱包提前遭到入侵，骗子利用虚假的 MetaMask 空投快照诱导用户进入钓鱼网站，仿冒诈骗还波及 Polkadot、Shiba Inu 以及一个虚假的 OpenAI 代币。完整分析见下文，但首先……
图为 Faith Lillibridge 于 1954 年在哥伦比亚大学沃森科学计算实验室五楼的 NORC（海军军械研究计算器）控制台前留影。NORC 由 IBM 为美国海军建造，在 1954 年揭幕时是全球最强大的计算机。操作这类早期机器的工作人员将占据整个房间的硬件转化为可靠、可重复的计算能力——这种严谨、精确的工作态度，至今仍是可信系统的基石。
Endo 尝试在不破坏原有 import/export 语句的前提下接入 webpack transform，但实践证明此路不通，除非将 webpack 解构并作为构建打包工具的框架来使用。Endo 决定暂停该方案，转而探索更简洁的解决方案，在 LavaMoat 开源工具包中尝试新方法。与此同时，最新的 Endo compartment-mapper 更新新增了 exitModuleImportHook，允许动态导入 exit 模块，无需预先构建列表——这是 compartment-mapper 作为 lavamoat-node 后端所需的最后一项重要功能。Endo SES 白名单也针对 React Native Android JSC 进行了小幅更新，详见 endojs/endo #1511，修复了长期存在的 issue #660（近期在 LavaMoat/docs #16 中持续跟踪），并在 React Native JSC build scripts issue #181 中进一步探讨。
LavaMoat 开始探索一种安全打包的替代方案，使用 webpack loader 实现隔离化，并在后续添加运行时。由于 loader 上层保持不变，tree-shaking 等大多数功能仍可正常使用；主要风险在于自定义插件可能以不可预见的方式修改代码。通过将实验性 "scuttleGlobalThis" 选项与 Snow 配合配置，scuttling 安全功能现可应用于所有潜在的同源子 realm（如 iframe），进展详见此处。LavaMoat Browserify 示例的小幅更新已合并至 LavaMoat/LavaMoat #476。
React Native 支持得以重启，从 Endo SES lockdown 集成重新开始——最初目标版本为 RN v0.66.5，现已更新至 RN v0.71.4——MetaMask 移动应用集成工作正在推进中。进展可在 LavaMoat React Native epic 中跟踪。
Dan Finlay 于 2023 年首次亮相 EthDenver，发表了关于 Delegatable 的演讲，分享了委托机制如何让去中心化应用的构建更安全、更便捷的愿景。他表示："很多人在领取空投后，资产随即被悉数盗走……Delegatable 让你能够将合约上可执行的任何操作授权给另一个账户。它拥有一套开放式的限制系统，可以按任意方式缩减所共享的权限。这样一来，你可以通过限制热钱包的操作范围，在保持其链上活跃能力的同时降低其风险。"
Gal Weizman 发表了一场关于供应链攻击日益增长的危险性的演讲，探讨了依赖项相关风险以及 Snow JS 如何弥补这些漏洞。演讲涵盖 Web 的演进历程、安全性与可见性的重要意义、第三方解决方案、JavaScript realm 以及 Snow JS 等主题。
2023 年 3 月，围绕空投的可疑活动急剧增加。上月，MetaMask 发布了关于 rug pull 和空投诈骗风险的概述，提醒用户"免费获利"的诱惑是不法分子惯用的手段。事实正是如此——骗子在社交媒体上散布虚假信息，声称 MetaMask 将于 3 月 31 日进行快照或发放空投，以此诱导用户进入钓鱼网站，盗取任何试图领取这些根本不存在的代币的用户资产。MetaMask 于 2023 年 3 月 29 日公开揭露该骗局并向社区发出警告，指出这一虚假说法"不仅毫无根据，而且……极具危险性"，因为它为针对用户资产的骗子和钓鱼者提供了可乘之机。整个月内，仿冒 Polkadot、Shiba Inu 以及虚假 OpenAI DeFi（GPT-4）代币的仿冒空投诈骗均采用了相同的套路。
在 Arbitrum 空投前数日，Arkham 于 2023 年 3 月 20 日报告称，一名黑客在此前 12 小时内从地址 0x59d4...fb19 向约 2,400 个疑似已被入侵的钱包转入资金，这些钱包随后批准了 ARB 代币，为领取做好准备。事后，CoinDesk 以《Arbitrum 揭示加密空投有多混乱（且棘手）》为题，深度报道了其中可能出现的种种问题。
MetaMask 安全研究员 Taylor Monahan（@tayvano_）于 2023 年 3 月 24 日紧急呼吁使用 Cloudflare 的 Web3 产品团队立即采取行动：轮换所有账户的全局 API 密钥，并移除任何尚未完成全局 API 密钥轮换的 Cloudflare 账户。旧版全局 API 密钥拥有完整的账户访问权限，一旦泄露后果极为严重。
Trading Uncle（@thetradingunc）记录了一起发生于 2023 年 3 月 14 日的社会工程学攻击尝试：一个账号发送私信，称赞目标用户的内容，并邀请其在元宇宙"会议"中与其他嘉宾同台演讲——这种方式旨在降低目标的警惕性，为后续诈骗铺路。
MetaMask 2023 年 3 月加密安全报告涵盖了空投诈骗激增事件——包括用于钓鱼攻击的虚假 MetaMask 快照——Arbitrum 空投前约 2,400 个钱包遭到入侵，以及针对 Web3 团队的 Cloudflare 全局 API 密钥安全警告。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
