每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2023 年 9 月，MetaMask 推出了 Snaps 公开测试版，为钱包带来了无需许可、可自定义的安全功能。我们还分享了与 Ledger 合作创建的自托管教育内容，并与 Wallet Guard 共同举办了"安全现状"Space 活动。在工具层面，LavaMoat 加快了发布节奏，新增了 Node 20 支持，并为 ScorchWrap 的测试版做好了准备。此外，MetaMask 的 Gal Weizman 和 Zbigniew Tenerowicz 在 W3C 的"Secure the Web Forward"大会上就强化 JavaScript 和浏览器 realms 进行了演讲。在威胁方面，Taylor Monahan 将约 3500 万美元的盗窃事件与存储在 LastPass 中的助记词关联起来，我们还详细介绍了 Pink Drainer 组织如何通过 SIM 卡交换攻击入侵了 Vitalik Buterin 的账户。完整详情见下文，但首先……
Luis von Ahn 是一位危地马拉计算机科学家，他联合发明了 CAPTCHA 和 reCAPTCHA——这些挑战-响应测试用于区分人类与机器人，帮助保护网络服务免受自动化滥用——并开创了人类计算的理念。他后来联合创办了 Duolingo。他的工作处于日常网络安全的基础层面：以低成本、大规模地证明另一端存在真实的人。
MetaMask 于 2023 年 9 月 12 日推出了 Snaps 公开测试版，根据用户偏好和需求扩展了钱包内可自定义的安全选项。Snaps 是由第三方开发者构建的功能和扩展，用户可以直接安装到自己的钱包中（metamask.com/snaps）。此次公开测试版面向高级用户和早期采用者，作为起点。多个以安全为重点的 Snaps 已在经过审计的 Snaps 目录中上线。官方目录中的每个 Snap 均经过 MetaMask 团队和外部审计人员的审查与审核。在一篇配套帖子中，MetaMask Snaps 的 Christian Montoya 分享了优化 MetaMask 安全性的基本技巧，并重点介绍了测试版中可帮助用户防范高风险交易的 Snaps。
MetaMask 与 Ledger 合作，发布了一堂 Web3 安全课程，内容涵盖自托管所带来的责任、如何规避常见攻击向量，以及使用硬件钱包的重要性。为推广该课程，MetaMask 高级安全研究员 Miles Nolan 于 2023 年 9 月 20 日与 MetaMask 和 Ledger 的同事共同主持了一场直播 X Space。
MetaMask 与 Wallet Guard 联合举办了一场 X Space，就安全现状展开讨论。Wallet Guard 的 Ohm、Martin 和 Michael 与 Marco Menozzi（MetaMask 安全团队）及 Christian Montoya（MetaMask Snaps）共同探讨了设备安全、社会工程学、数据泄露、SIM 卡交换、诈骗广告以及 MetaMask Snaps 等话题。Wallet Guard 还分享了录音的文字回顾。
HackerOne 于 2023 年 9 月 27 日启动了大使世界杯半决赛，4 支团队为包括 MetaMask、Shopify 和 Tinder 在内的合作伙伴进行漏洞猎寻，助力其保护产品安全、守护用户权益。
过去 3 年间，通过 DNS 劫持和恶意内容注入已造成超过 1.25 亿美元的损失。MetaMask 正在采用由 Yearn 团队创建的解决方案：一个区块链 calldata 白名单，可在 DNS 劫持事件发生时防止恶意行为者伤害用户。MetaMask 的开发者关系团队正在联系对该计划至关重要的第三方；更多详情请参阅公开文档，其中链接了概念验证代码库，以及由 Miles Nolan 主讲的简短说明视频。
发布流程的改进使发布变得轻而易举，更高的发布频率现已成为常态。测试结构的调整使其能够在 Node 20 上顺利通过，Node 20 现已获得官方支持。ScorchWrap 插件已准备好进入测试版，并将在两场远程开发者活动上正式发布，测试版计划在 LavaMoat 讨论区中运行。MetaMask 移动端的 Lockdown 功能现已正常运行，即将发布。
在 W3C 的"Secure the Web Forward"活动上，Zbigniew Tenerowicz 就将强化 JavaScript 应用于供应链安全以实现主动防御进行了演讲，Gal Weizman 则介绍了 JavaScript realms 如何被用于绕过现有 Web 应用安全工具。在一篇关于"同源问题"的相关论文中，Snow JS 项目的维护者 Weizman 描述了应用程序对其自身源下产生的新 realms 缺乏控制的问题、当前解决方案的不足之处，以及浏览器原生方案如何提供安全、高性能的修复；该论文本月已提交至 W3C 安全工作组。
一系列高价值盗窃事件——涉及约 3500 万美元的被盗资金——可能与 LastPass 近一年前披露的一次数据泄露有关。MetaMask 的 Taylor Monahan 自 2022 年 12 月起持续追踪相关线索，她指出受害者"真的都具备相当合理的安全意识"，且"深度融入这个生态系统"——包括知名加密机构的员工、风险投资人，以及构建 DeFi 协议、部署合约和运行全节点的人员。她发现的主要共同点是：受害者曾在某个时间点使用 LastPass 存储过自己的助记词。她的建议直截了当：不要将所有资产长期置于同一个密钥或助记词之下——分散资产、购置硬件钱包，并立即迁移。Krebs on Security 有更多详情。
ERC-7512 提案旨在将智能合约审计记录上链。通过允许用户和应用程序验证由知名审计机构进行的审计，该标准将为审计人员建立链上声誉体系，并有助于构建更值得信赖的智能合约使用环境。
Rekt 的"Gone Phishing"汇总了一系列诈骗事件，涵盖被入侵的前端页面、杀猪盘、八位数的链上失误，以及公众人物乃至政府机构账户遭黑客攻击的案例——包括针对 Vitalik Buterin 的高知名度 SIM 卡交换盗取攻击。关于幕后团伙的更多信息，Boring Security 在 Buterin 账户于 2023 年 9 月 10 日遭入侵后，记录了 Pink Drainer 的攻击手法。
MetaMask 2023 年 9 月加密安全报告涵盖了 MetaMask Snaps 公开测试版的发布、Taylor Monahan 将约 3500 万美元盗窃事件与存储在 LastPass 中的助记词相关联，以及导致 Vitalik Buterin 账户被入侵的 Pink Drainer SIM 卡交换攻击。浏览往期 MetaMask 加密安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
