每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密攻击事件和新兴风险。
2023 年 10 月，MetaMask 与 Blockaid 联合推出了隐私保护安全警报，可在用户签名前标记恶意交易，同时 LavaMoat webpack 插件进入公开测试阶段。在威胁方面，Fantom 基金会在一起涉及 700 万美元的更大规模黑客攻击中损失了 55 万美元，原因是私钥遭到泄露；威胁行为者开始在 BNB Chain 上隐藏信息窃取恶意软件，这一技术被称为 EtherHiding；Galxe 在一次 DNS 劫持攻击导致超过 40 万美元资金流失后，向用户补偿了损失金额的 110%。详细内容见下文，但首先……
Luigi Galvani（1737–1798）是一位意大利医生和物理学家，他发现了他所称的"动物电"，证明了一个电火花可以使死青蛙的腿发生抽搐，从而奠定了生物电学研究的基础。他的实验广为人知，据说曾启发玛丽·雪莱创作了《弗兰肯斯坦》——这对本期万圣节特辑而言恰如其分，也永远提醒我们：强大的能力需要审慎的掌控。
MetaMask 与加密安全提供商 Blockaid 合作，推出了全新的隐私保护安全警报，帮助在恶意交易发生前将其拦截，保护用户免受诈骗、网络钓鱼和黑客攻击。双方共同构建了一个隐私保护模块，可在无需用户向第三方共享数据的情况下模拟交易。根据以往趋势，一旦该警报向所有 MetaMask 用户开放，预计将防止价值数十亿美元的资产被盗。
LavaMoat 发布了其 webpack 插件的早期版本（npm i @lavamoat/webpack），能够将代码封装在隔离区中并遵循基本策略——已准备好供开发者测试与其项目的兼容性。团队鼓励开发者进行测试并反馈任何不兼容问题，公开测试阶段是获得 LavaMoat 集成免费直接支持的唯一窗口期。欢迎在 LavaMoat 讨论帖中提交反馈并获取支持。所有 LavaMoat 软件包也同步发布了新一轮重大更新，其中包含一项破坏性变更：不再支持 Node.js v14。
MetaMask 与 CryptoForensic 已为调查人员、交易所及加密产品开发者共享了一份指南，旨在为杀猪盘诈骗受害者提供支持。贡献者包括 MetaMask 安全团队、信任与安全团队，以及来自 CryptoForensic 的调查人员。杀猪盘诈骗案件持续增多：不法分子会花费数月时间与受害者建立网络关系——通常以恋爱为名，有时也以友情为幌子——因此受害者往往意识不到自己信任的人已经对其实施了诈骗。该操作手册涵盖了判断用户是否受害的关键信息、应询问的问题，以及如何引导受害者减少进一步损失。
除 webpack 插件公测和 Node.js v14 变更外，LavaMoat 持续完善其类型定义，并积极参与各类活动：webpack 插件在 React Advanced 线上大会上正式发布，团队还亮相了华沙举办的 The Hack Summit。在移动端，MetaMask 通过采用 macOS 13.5.2+ 并将 MetaMask Mobile 升级至 Xcode 15 和 React Native 0.71.14（现已合并）强化了构建安全性，并在此次更新中应用了上游安全修复；锁定功能正在 iOS（JSC）上进行最终测试，随后将推进至 Android（Hermes）。
2023 年 10 月 17 日，Fantom 基金会部分钱包因私钥泄露遭到清空。Fantom 最初在其 Telegram 频道中声称损失源于 Chrome 零日漏洞，但未提供任何佐证；对相关交易的链上分析则以中等置信度指向私钥泄露——因为多个钱包在同一日期和时间被清空，同时对每位密钥持有者发动网络钓鱼攻击的可能性极低。Fantom 随后披露，被盗的 700 万美元中仅有 55 万美元属于 Fantom 基金会，但未详细说明攻击经过。据 CryptoSlate 报道，由于仅有员工钱包受到波及，用户资金未受影响。
事件发生后，MetaMask 安全团队的 Taylor Monahan 重申了保护钱包安全的核心建议：
做好操作安全：使用多因素认证和硬件钱包，避免随意下载文件。
将资产分散存放于多个钱包，并定期轮换旧密钥或已复用的密钥。
切勿在日常浏览所用的设备上签署高价值交易。
信息窃取活动背后的威胁行为者开始将恶意载荷存储在 BNB Chain 上，这一技术被 Guardio Labs 命名为 EtherHiding。信息窃取恶意软件旨在悄无声息地盗取银行信息、登录凭证和信用卡数据。攻击者正从传统的 Web2 托管方式转向 Web3 技术来存储恶意内容，原因是旧有方式不断被托管服务商下架——他们此前也曾利用 IPFS 达到同样目的。尽管此次活动并非专门针对加密用户，但标准防御措施同样适用：保持浏览器和计算机更新，使用广告拦截器，并避免从不信任的个人或机构下载任何内容。
Galxe 向在 DNS 劫持攻击中蒙受损失的用户进行了赔偿。Galxe 的域名注册商 Dynadot 将域名访问权限授予了一名冒充 Galxe 官方团队成员的攻击者，该攻击者随即将 Galxe 的前端页面改造成钓鱼网站，共波及 1,120 名用户。MetaMask 迅速采取行动，将 Galxe 临时标记为钓鱼网站。受影响用户于 2023 年 10 月 20 日获得了损失金额 110% 的赔偿，尚未收到赔偿的用户可联系 Galxe 客服。此次事件提醒我们，即便面对可信赖的应用程序也需保持警惕——开启协议公告提醒、保持钱包更新，并启用 MetaMask 安全功能（PPOM/Blockaid）。希望降低 DNS 劫持风险的开发者可参阅 MetaMask 的 DNS 劫持缓解提案，并在此处分享反馈。
由 MetaMask 与 Wallet Guard 联合主办的下一期安全现状 X Space 定于 2023 年 11 月 29 日太平洋标准时间中午 12 点举行，将涵盖最新威胁、安全最佳实践及版本发布动态。
MetaMask 2023 年 10 月加密安全报告涵盖了 MetaMask 与 Blockaid 隐私保护安全警报的推出、追溯至私钥泄露的 700 万美元 Fantom 基金会黑客攻击事件，以及 Galxe 在 DNS 劫持攻击后向用户补偿 110% 的情况。浏览往期 MetaMask 加密安全报告，获取更多威胁资讯、趋势分析及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
