
加密貨幣安全報告:2023年4月
本期內容:竊取2700萬美元的詐騙即服務、MetaMask與OpenSea及Blockaid推出的新交易安全功能、針對資深加密用戶的多鏈耗盡攻擊,以及Etherscan防範地址投毒的新舉措。

本期內容:竊取2700萬美元的詐騙即服務、MetaMask與OpenSea及Blockaid推出的新交易安全功能、針對資深加密用戶的多鏈耗盡攻擊,以及Etherscan防範地址投毒的新舉措。

空投詐騙激增,利用假贈品炒作釣魚用戶;Arbitrum 空投前約 2,400 個錢包遭鎖定;針對 Web3 團隊的 Cloudflare 全域 API 金鑰警告;以及 EthDenver 關於 Delegatable 與 JavaScript realms 的演講。

MetaMask 預設停用 eth_sign,同期 Monkey Drainer 釣魚組織關閉;Namecheap/SendGrid 遭入侵導致 MetaMask 品牌釣魚郵件外洩;Google Fi SIM 卡遭劫持;以及偽造 EthDenver 網站與釣魚錢包相關聯。

內容涵蓋:利用相似錢包地址的地址投毒攻擊、深入探討唯讀重入作為新興 DeFi 攻擊向量、LavaMoat 的新工具 LavaTube 物件圖,以及隱藏在假遊戲下載中的 RAT。

本期內容涵蓋:Lazarus Group在假冒加密應用中植入新型AppleJeus惡意軟體、社交工程詐騙盜走價值107萬美元的14隻Bored Apes、LavaMoat的bin混淆防護,以及年終回顧:PhishFort下架行動與MobyMask上線。

介紹 LavaMoat 在 MetaMask 擴充功能中推出 Snow 與全域封鎖,探討將 Snow 整合至 MetaMask 的理由,FTX 崩潰後關於 Snaps 與自託管的 Twitter Space,以及 Google Sites 和 Telegram 交易機器人詐騙。

本期內容涵蓋 SES v0.17.0 發布的「四重後空翻」評估器重構、Socket.dev 揭露的 npm bin 腳本混淆攻擊、LavaMoat 新的全域 scuttling 防禦機制,以及 MetaMask 在波哥大 Devcon VI 的兩場安全演講。

內容涵蓋:Consensys 研究揭示 MetaMask 用戶遭釣魚攻擊的原因、CircleCI 假冒活動繞過 GitHub 雙重驗證,以及 Twitter 上冒充 Vitalik Buterin 與以太坊基金會推廣以太坊合併詐騙的帳號。

涵蓋以合併為主題的網路釣魚活動(冒充可信實體誘騙用戶進行假ETH 2.0轉換)、加密貨幣蜜罐詐騙機制分析、LavaMoat風格的政策執行,以及HackerOne漏洞獎勵計劃指標。

介紹 LavaMoat 推出三款針對原型污染與跨域攻擊的實驗性瀏覽器安全工具、一個釣魚超過 73,000 個 LP 地址的假 $UNI 空投,以及一個基於 YouTube 的 MEV 搶跑機器人詐騙。