每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击和新兴风险。
2022 年 11 月，LavaMoat 将 Snow 和全局清除功能正式推向所有用户的生产环境，包括 MetaMask Extension，同时还推出了经过四重反转的 SES 构建版本、Node.js 域名管理以及初步的 bin 混淆缓解措施。与此同时，Endo 原型化了一个通用打包工具，威胁情报团队也启动了一个基于 STIX 的 DeFi 事件数据库。在社区层面，MetaMask 分享了 Kumavis 在 Devcon 上关于 JavaScript 供应链安全的演讲，Gal Weizman 就将 Snow 集成到扩展程序中提出了论点，一场 Twitter Space 也探讨了 Snaps 如何在 FTX 崩溃后强化自托管。本月还有几个警示案例：Google Ads 和 Google Sites 钓鱼攻击、通过伪造 Flash Player 更新传播的恶意 Chrome 扩展，以及 Telegram 交易机器人诈骗。完整内容如下，但首先……
Daphne Oram（1925–2003）于 1958 年联合创立了 BBC 广播音效工作室，并开创了她称之为 Oramics 的技术——直接在胶片上绘制形状来合成声音。她将手绘图案转化为精确信号的工作，预示了自托管钱包软件验证数据所依赖的信号与模式思维方式。Oram 终其职业生涯都在坚持：高度技术性的工具也可以变得富有表现力，并让非专业人士也能轻松使用。
2022 年 11 月是 LavaMoat 的重要生产发布节点。Snow（递归 iframe 和 realm 安全）以及全局清除（在基于策略的捕获后移除原始全局引用）已面向所有 LavaMoat 用户发布，包括 MetaMask Extension。一个经过"四重反转"的 SES 版本（含多项重要更新）被引入 LavaMoat，用于即将发布的版本，其中包括 Node.js 中的域名管理——这一点尤为值得关注，因为部分软件包仍在使用 Node 早已废弃的 domain 模块。bin 混淆攻击缓解的初始版本已合并至 @lavamoat/allow-scripts，将在下一版本中通过标志位启用。此外，一个用于通过几个引导性问题在代码仓库中配置所有 LavaMoat 工具的新 CLI 也正在开发中。
Endo 项目尝试使用 Endo 驱动一个打包工具，在其 compartment mapper 之上构建了一个概念验证的通用打包工具。这项工作推动了 Endo 代码库中一系列功能的改进，包括修复了命名重导出处理方式中的一个 bug。
MetaMask 威胁情报团队开始着手为去中心化金融（DeFi）领域的事件构建标准化数据存储。相关记录采用 STIX（结构化威胁信息表达）语言，旨在成为一个权威数据源，为追踪 DeFi 安全事件的专业人士和爱好者提供洞察。
MetaMask 的 Kumavis 在 Devcon 2022 上发表了演讲，题为《攻击者在内部》，聚焦 JavaScript 供应链安全。他解释了软件供应链攻击在 JavaScript 和加密生态系统中的运作方式——在这些生态中，每个项目都建立在共享的开源基础之上——以及 MetaMask 的免费开源工具 LavaMoat 如何保护用户及其钱包。
LavaMoat 贡献者 Gal Weizman 发表了《将 Snow 集成到 MetaMask》一文，主张将 Snow 浏览器安全技术直接部署到 MetaMask 浏览器扩展中。Snow 在所有 iframe 中强制执行递归 realm 所有权，封堵了攻击面——攻击者可能利用新创建的浏览器 realm 访问未被篡改的 API 引用，从而绕过应用于顶层窗口的策略。
在 FTX 崩溃之后，MetaMask 主办了一场 Twitter Space，汇聚了 Christian Montoya（MetaMask）、Zen Yong（Web3Auth）和 Chirag Titiya（Biconomy），共同探讨通过 MetaMask Snaps 实现的无许可创新如何帮助用户掌控自己的资金，并更好地保护其助记词。正如 Zen Yong 所言，FTX 事件"如果有更多人实践自托管，对整个加密行业的冲击本可以更小"。Montoya 指出，目标是让开发者能够在 MetaMask 中构建新的账户管理选项——为新用户提供更简便、更安全的选择，降低丢失密钥或账户被盗的风险。
钓鱼活动持续滥用 Google 基础设施，针对加密钱包用户发起攻击。The Verge 此前记录了钓鱼者如何利用 Google Ads 诱骗用户交出加密资产，用户还应警惕以"sites.google."开头的 URL。正如 Mashable 报道的那样，诈骗者也在 Google Sites 上搭建钓鱼网站，复制可信网站的设计，诱骗用户输入敏感信息。
BleepingComputer 报道了一款恶意 Chrome 扩展，该扩展可让攻击者远程控制浏览器。该扩展并未在官方 Chrome 网上应用店上架，而是通过其他渠道传播，例如推送伪造 Adobe Flash Player 更新的网站。对用户的提示：避免从非官方渠道安装浏览器扩展或"更新"。
2022 年 11 月，社交媒体上流传着关于 Telegram 和交易机器人恶意活动的警告。Twitter 用户 Big D 提示了一种通过 Telegram 传播的木马病毒，该病毒可能通过一个容易被忽视的自动设置下载到手机；另一项分析则探讨了用户的私钥如何在交易机器人中遭到暴露。交易机器人的使用正在增加，但向其授予钱包访问权限可能使资金面临风险。
MetaMask 2022 年 11 月加密安全报告涵盖了 LavaMoat 向 MetaMask Extension 正式推出 Snow 和全局清除功能、一场关于 MetaMask Snaps 如何在 FTX 崩溃后强化自托管的 Twitter Space，以及涉及 Google Ads 和 Google Sites 钓鱼攻击、恶意 Chrome 扩展和 Telegram 交易机器人诈骗的警示案例。浏览 MetaMask 加密安全报告的往期内容，了解更多威胁、趋势以及在生态系统中保持安全的技巧。
AI 翻译。可能包含错误。请务必核实信息。
