每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
本月最重要的事件：我们的研究人员 Taylor Monahan 和 Harry Denley 持续调查一起约 1000 万美元的多链黑客攻击事件——此次攻击导致约 300 名长期加密用户的资产被盗，其助记词（Secret Recovery Phrases）遭到泄露。美国联邦贸易委员会（FTC）也就冒充加密公司的网络钓鱼邮件发出警告，一份实用的钱包被盗调查清单也在社区广泛流传。在工程方面，LavaMoat 合并了 27 个依赖项更新，并推进了 ScorchWrap 插件、MetaMask Mobile 安全加固及"scuttling"功能的开发；Endo 改进了 CommonJS 错误处理；Zbigniew Tenerowicz 的"Eval all the Strings!"强化 JavaScript 演讲也正式上线。完整内容详见下文，但首先……
Ada Lovelace（1815–1852）是一位英国数学家，因其在 Charles Babbage 提出的分析机上所做的工作——包括一个计算伯努利数的算法——而被誉为第一位计算机程序员。她还预见到这样的机器能够完成远超纯粹计算的任务。这种对精确、可验证逻辑的早期坚持，正是值得信赖的软件安全至今仍依赖的核心原则。
LavaMoat 合并了 27 个独立的依赖项更新 Pull Request，涵盖其各个软件包，包括已知漏洞修复，并发布了包含更新依赖项和 Node.js 18 兼容性修复的小版本。ScorchWrap webpack 插件的开发工作持续推进，在将运行时打包进 bundle 本身方面取得进展，并发现了与其他插件的兼容性问题。我们的团队还持续推进 LavaMoat 对 MetaMask Mobile 的供应链保护工作——确保即使某个依赖项被劫持，也无法访问敏感的浏览器 API。在此过程中，团队解决了在 Chrome V8 环境下调试时出现的未捕获异常（由 ethjs 等库抛出的 TypeError）。相关工作还推进了"scuttling"功能——该功能可在某个软件包的授权范围过于宽泛时，禁用对整个 window 中常见全局变量的访问。
Endo 改进了 compartment-mapper 中 CommonJS 缺失模块的错误提示，使所需模块无法找到时的报错信息更加清晰明了。
MetaMask 的 Zbigniew Tenerowicz（ZB）于 2023 年 4 月在柏林 Node Congress 上发表了一场题为"Eval all the Strings!"的简短演讲。在短短 7 分钟内，ZB 介绍了 Secure ECMAScript（SES）和 Compartments——两者均为 TC39 提案——以及他正在构建的使其可用的工具链。用他自己的话说："SES + 工具链（LavaMoat 或 Endo）使得按软件包粒度限制对网络、文件系统、核心模块或全局变量的访问成为可能……对我而言，这是保护 npm 供应链安全的最后一步——即使某个软件包被恶意行为者接管，它也无法伤害我。"
"这次演讲的主题是 SecureEcmaScript 和 Compartments，它们是 TC39 提案，我正在与这些提案的倡导者合作，构建工具链使这些概念真正可用。这是对 JavaScript 安全未来的第一手记录。SES + 工具链（LavaMoat 或 Endo）使得按软件包粒度限制对网络、文件系统、核心模块或全局变量的访问成为可能。我想展示它们的工作原理、所开启的可能性，以及如何通过一些努力在今天就实现这个未来。对我而言，这是保护 npm 供应链安全的最后一步——即使某个软件包被恶意行为者接管，它也无法伤害我。"
在接受 The Defiant 采访时，MetaMask 安全研究员 Taylor Monahan 详细解释了她与同事 Harry Denley 于 2023 年 4 月开始调查的多链黑客攻击事件——这是一场针对长期加密用户的大规模攻击——同时分享了保持安全的建议，并探讨了"代码即法律"和"区块链不可篡改"等议题。攻击者采用了一种不寻常的手法：在将资产发送至去中心化交易所（DEX）之前，先在受害者的钱包内对被盗资产进行兑换。攻击者如何入侵约 300 名助记词遭泄露用户的方式至今不明，目前推测此次攻击并非通过常规网络钓鱼手段实施。Monahan 建议用户提升安全性，包括使用硬件钱包并将资产分散存储于多个钱包中。
如果钱包遭到盗取，查明攻击如何发生并不需要具备安全研究员的专业背景。Twitter 用户 Jon_HQ 于 2023 年 5 月 5 日在 Twitter 上发布了一份详尽的调查清单，逐步梳理了调查钱包被盗时需要审查的各个步骤——值得收藏备用。
美国联邦贸易委员会（FTC）发布消费者警示，提醒公众对看似来自加密相关服务的消息保持高度警惕。针对任何未经请求的邮件，FTC 建议无论邮件内容如何都不要仓促行事——制造虚假紧迫感是一种标准诈骗手段，旨在绕过理性判断——并建议不要点击未经请求邮件中的链接，同时保持安全软件处于最新状态。如收到冒充 MetaMask 的网络钓鱼邮件，可通过 https://support.metamask.io/chat 进行举报。
诈骗者经常冒充知名加密品牌，搭建仿冒网站、伪造邮件和社交媒体账号，诱骗用户交出账户访问权限。为帮助您保持安全，我们的支持知识库详细说明了如何识别真实的 MetaMask，以及如何确认您正在使用正规的支持渠道。
MetaMask 2023 年 5 月加密安全报告涵盖了 Taylor Monahan 对一起针对长期加密用户的 1000 万美元多链黑客攻击事件的持续调查、FTC 关于冒充加密公司网络钓鱼邮件的警告，以及 Zbigniew Tenerowicz 的"Eval all the Strings!"强化 JavaScript 演讲。浏览往期 MetaMask 加密安全报告，获取更多威胁资讯、趋势分析及生态系统安全建议。
AI 翻译。可能包含错误。请务必核实信息。
