每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
本月，我們與 OpenSea 及 Blockaid 共同推出了一項全新的交易安全功能，目前已攔截超過 4,000 筆高風險交易。此外，一個名為 Venom Drainer 的詐騙即服務（scam-as-a-service）從約 15,000 名受害者手中竊取了 2,700 萬美元，而我們的研究人員 Taylor Monahan 與 Harry Denley 也開始調查另一起針對資深加密貨幣用戶的資產盜取行動。Etherscan 也調整了一項設定，以協助遏制地址投毒詐騙。完整報告如下，但首先……
Michael Faraday（1791–1867）是一位幾乎全靠自學的英國科學家，他的實驗奠定了電磁學（包括電磁感應）與電化學的基礎，其電解定律至今仍以他的名字命名。他堅持以嚴謹、可重複的實驗取代假設的精神，正是可靠安全研究所依賴的「證據優先」原則。
Endo 的 exitModuleImportHook 已更名為 importHook，目前等待合併至 compartment-mapper。SES 0.18.3+ 現已納入先前提及的 React Native Android JSC 修復，解決非標準 AsyncGenerator 與 AsyncFunctionPrototype 的問題。團隊也完成了 BigInt 與 MetaMask Mobile 函式庫相容性的探索，以確定最佳前進路徑：big-integer shim 尚未完整支援 @ethereumjs/util；react-native-v8 完全相容，但存在阻礙性的效能問題；Hermes 提供可運作的 BigInt 實作，但存在其他相容性問題，且缺少 SES 所需的「with」陳述式。目前正在調查 React Native 0.71.6 上 SES 0.18.3+ 的各種 TypeError，這些工作正推動團隊逐步鎖定 MetaMask Mobile——該版本正從 0.66.5 升級，包含 React Native 0.72.0-rc1。
LavaMoat 團隊於 2023 年 4 月出席了 React Native London 聚會與 Node Congress Berlin，Zbigniew Tenerowicz 的演講影片預計於次月發布。先前的安全打包方式雖然可行，但其限制已相當明顯，促使團隊從 loader 改為 plugin，並在打包流程中找到更適合封裝各模組的階段。概念驗證插件（代號 ScorchWrap）可針對任何程式碼類型（CommonJS、ESM 或已編譯的 TypeScript）建立包含真實依賴項的基本套件；與其他插件的相容性及大規模測試仍需進一步完善。團隊也啟動了對 SES 與 Hermes 相容性的早期研究，開始為 @lavamoat/allow-scripts 提供 Yarn Berry（3+）支援，並正在進行有關 React Native 新架構及其鎖定方式的簡報。
2023 年 4 月，我們與 OpenSea 及 Blockaid 合作推出了一項實驗性的選擇加入交易安全功能，可在用戶確認前標記已知詐騙——目前已攔截超過 4,000 筆高風險交易。OpenSea 提供其詐騙封鎖清單，Blockaid 則即時分析惡意行為，更多安全功能也正在開發中。
MetaMask Security 的 Gal Weizman 在《CVE-2023-1767 — Snyk Advisor 服務中的儲存型 XSS 可允許完全偽造 npm 套件健康分數》中記錄了他的調查過程。他指出，Snyk Advisor 中的儲存型 XSS 漏洞讓他得以偽造其所控制套件的健康分數，使一個「惡意」套件看起來健康、熱門且合法——攻擊者可藉此說服他人安裝真正的惡意 npm 套件。
Monkey Drainer 或許已成歷史，但 Venom Drainer 幾乎在一夜之間取而代之。根據 Scam Sniffer 於 2023 年 4 月初發布的報告，Venom Drainer 詐騙即服務從約 15,000 名受害者手中盜取了 2,700 萬美元——僅前五名受害者就損失了 1,400 萬美元——涉及約 530 個釣魚網站，目標鎖定約 170 個品牌。
月中，MetaMask Security 的 Taylor Monahan 與 Harry Denley 在發現一起針對在加密貨幣生態系活躍多年用戶的多鏈攻擊行動後，展開了深入調查，許多受害者對個人安全相當熟悉。涉及的助記詞（Secret Recovery Phrase）所控制的金鑰建立於 2014 年至 2022 年間，調查仍在進行中。Monahan 表示：「自 2022 年 12 月以來，此行動已盜取 5,000+ ETH 以及不明數量的代幣／NFT／加密貨幣，橫跨 11 條以上的鏈。它讓我那些安全意識合理的朋友和 OG 們損失慘重。沒有人知道原因。」
CoinDesk 報導了《Etherscan 重新設定區塊鏈瀏覽器以過濾潛在詐騙》。該瀏覽器現在預設隱藏零值代幣轉帳顯示，此設定旨在防止地址投毒——攻擊者會向錢包發送幾乎毫無價值的代幣，誘使用戶日後複製並將資金發送至詐騙地址。
詐騙者操控 #UniswapHack 與 #UniswapExploit 標籤使其成為熱門話題，再利用這起假「駭客攻擊」將用戶引導至偽造版本的 Revoke.cash。正如 Hayden Adams 與 Evan Van Ness 於 2023 年 4 月 15 日所指出，Uniswap 並未遭到駭客攻擊，提醒用戶保持冷靜，避免在恐慌中採取行動。
一份 Scam Sniffer 報告記錄了 Google 搜尋廣告釣魚事件，共造成 400 萬美元被盜。Google 搜尋廣告釣魚是一種詐騙手法，詐騙者購買模仿真實加密貨幣品牌的贊助搜尋結果，將用戶引導至仿冒網站以竊取其錢包憑證或資金。這類詐騙是反覆出現的威脅，請務必仔細核對網址、盡可能使用書籤、略過贊助搜尋結果，並考慮安裝廣告攔截器以降低風險。
MetaMask 2023 年 4 月加密貨幣安全報告涵蓋了 MetaMask、OpenSea 與 Blockaid 實驗性交易安全功能的推出、從約 15,000 名受害者手中竊取 2,700 萬美元的 Venom Drainer 詐騙即服務，以及針對資深加密貨幣用戶的多鏈盜取行動持續調查進展。瀏覽往期 MetaMask 加密貨幣安全報告，了解更多威脅、趨勢及在生態系中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
