每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2022 年 9 月，Endo 项目完成了一次重大的 SES shim 重构，内部代号为"quadruple backflip"；与此同时，LavaMoat 发布了文档更新及全新的 LavaMoat-node 使用模式。此外，Consensys 发布了一项研究，深入探讨用户因网络钓鱼而损失资金的原因。与此同时，一场冒充 CircleCI 的网络钓鱼活动窃取了 GitHub 用户凭证，并实时转发 TOTP 验证码以绕过双重身份验证；Twitter 自身的算法则在 #EthereumMerge 话题标签冲上热搜之际，将一个经过认证的诈骗账号推送至用户面前——该活动利用 36 个被盗的认证账号冒充 Vitalik Buterin 及以太坊基金会。完整详情见下文，但首先……
Kevin Mitnick（1963–2023）用实际行动证明，最有效的攻击向量不是代码，而是人类心理。他曾因入侵数十家大型企业而跻身 FBI 头号通缉名单，后来转型成为财富 500 强企业和各国政府信赖的安全顾问，并担任安全意识培训公司 KnowBe4 的首席黑客官。他将社会工程学确立为一门正式学科，直接影响了整个行业应对本报告所涵盖的网络钓鱼活动的防御方式。
Consensys 发布了一项分析用户因网络钓鱼损失资金的原因与方式的研究。该研究审查了 70 份客户支持工单，并对 7 名曾遭受资金损失的用户进行了访谈，访谈遵循标准化问题指南，涵盖用户对助记词及网络钓鱼的认知与使用体验。一项关键发现：用户习惯以 Web2 的信任信号——认证徽章、粉丝数量、头像——来评估 Web3 实体的可信度，但在交易不可逆的自托管钱包环境中，这些信号并不能真实反映可信程度。
2022 年 9 月 16 日，GitHub 安全团队发现了一场冒充 CircleCI 的网络钓鱼活动，旨在窃取用户凭证和双重验证码。钓鱼邮件声称用户的 CircleCI 会话已过期，或需要接受更新的使用条款，并将用户引导至仿冒域名，包括 circle-ci[.]com 和 emails-circleci[.]com。钓鱼网站将 TOTP 验证码实时转发给攻击者和 GitHub，从而绕过基于时间的双重身份验证。尽管 GitHub 本身未遭入侵，但此次活动波及多个受害组织。此事件表明，基于 TOTP 的双重验证易受实时中继攻击——硬件安全密钥（FIDO2/WebAuthn）仍是目前最强的防御手段。
2022 年 9 月 14 日，在 2022 年 9 月 15 日以太坊过渡前夕，#EthereumMerge 话题标签在 Twitter 上冲上热搜，平台算法将一个推广中的诈骗账号与正规的合并相关内容一同呈现给用户。更大范围的活动涉及至少 36 个被盗的 Twitter 认证账号，被用于冒充 Vitalik Buterin 和以太坊基金会，宣传虚假的"赠送 50,000 ETH"活动，将受害者引导至网络钓鱼网站，以"双倍返还"为诱饵要求其存入 ETH。
Endo 项目提交了一次重大的 SES shim 求值器重构，将其拆分为多层作用域栈，内部称之为"quadruple backflip"。此次变更解决了作用域代理可能发生泄漏的问题，并将全局作用域处理中的不同关注点分离至独立层级。附带收益：重构落地后，LavaMoat 可直接使用未经修改的 SES shim，无需再为 shim 维护 LavaMoat 专属补丁。
MetaMask 的 LavaMoat 项目对其工具链文档进行了全面更新。lavamoat-node 新增功能包括：用于从 node_modules/.bin 运行命令的便捷辅助工具，以及编程式使用 API，使开发者能够更轻松地将 LavaMoat 的供应链保护集成到现有构建流程中。
MetaMask 2022 年 9 月加密安全报告涵盖了一场通过实时 TOTP 中继绕过 GitHub 双重身份验证的 CircleCI 冒充活动，以及 Twitter 算法在以太坊合并热搜期间推送认证诈骗账号的事件。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
