每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 4 月，ZachXBT、MetaMask 的 Taylor Monahan 及其他研究人員分享了他們對北韓 Lazarus Group 洗錢 2 億美元的調查結果。此外，MetaMask 安全實驗室向 W3C 提交了 Snow.js 提案，並升級了 LavaMoat 對 ES 模組的政策生成功能，同時 Gal Weizman 詳細介紹了用於安全顯示敏感資料的全新 LavaDome 工具。與此同時，Security Alliance 推出了一個免費的原生加密貨幣 ISAC。完整內容請見下方，但首先……
Fazlur Rahman Khan（1929–1982）是一位孟加拉裔美國結構工程師與建築師，電腦輔助設計的早期先驅，也是常被稱為高層建築「管狀設計之父」的傳奇人物。他的結構系統開創了新一代高效摩天大樓的可能性，包括威利斯（西爾斯）大廈和約翰漢考克中心。設計能在巨大壓力下屹立不搖的結構，在某種程度上與安全工程所面對的挑戰如出一轍：打造一個在重重考驗下仍能屹立的系統。
MetaMask 安全實驗室向 W3C 提交了一項提案以進行孵化，引入基本功能，讓團隊能夠在使用者端直接部署 Snow.js，而非透過 LavaMoat。將其直接嵌入瀏覽器將使繞過機制幾乎不可能實現，這也是解決「同源問題」的關鍵步驟。團隊同時升級了政策生成功能，以支援 ECMAScript 模組（ESM）——在傳統 require 系統之外，支援 import 和 export 語法——適用於 webpack 插件及全新的 Endo 工具；下一個版本的 LavaMoat webpack 插件也將加入對 target: 'node' 及內建模組的支援。Lockdown 現已在 iOS 版 MetaMask Mobile 上正式永久啟用，團隊也正在改善文件說明與教學影片，以便讓更廣泛的生態系更順暢地導入 LavaMoat。
隨著對網頁應用程式內部程式碼的信任逐漸瓦解，同源政策等傳統防護措施對於內部威脅已愈來愈力不從心。MetaMask 正透過 LavaDome 來應對這一挑戰——這是一款實驗性工具，能夠在 DOM 中安全顯示敏感資訊，防止惡意程式碼透過 XSS 或供應鏈攻擊竊取資料。正如 Gal Weizman 所說，LavaDome 能夠安全地將敏感值——如 PIN 碼、私密備份助記詞、私鑰或其他個人資料——渲染至 DOM，且整合摩擦幾乎為零。
一名經營 Privnote 閱後即焚訊息服務仿冒網站的網路犯罪者，因威脅要對 MetaMask 提起訴訟，反而意外暴露了其龐大的詐騙規模。事件起因於一名 GitHub 用戶投訴其網站 privnote.co 被錯誤加入 MetaMask 的釣魚封鎖名單，並揚言採取法律行動。然而當對方被要求實際提出訴訟時，卻慌了手腳，開始說出自己掌控的其他網域，例如 privnode.com、privnate.com 和 prevnóte.com，從而揭露了整個詐騙網絡。
Taylor Monahan 注意到了這個失誤，而正如 Brian Krebs 詳細報導的那樣，這些網站在外觀和功能上都模仿真實的 Privnote，只有一個關鍵差異：任何包含加密貨幣地址的訊息都會被自動竄改，將真實的付款地址替換為詐騙者所擁有的地址，而由於訊息會自動銷毀，這個變動極易被忽略。這個手法獲利頗豐：僅透過其中一個釣魚網站，四個詐騙地址在三月份短短五天內就轉移了近 18,000 美元的加密貨幣。
ZachXBT 在 MetaMask 安全團隊的 Taylor Monahan 及其他研究人員的協助下，追蹤了透過混幣器和中心化交易所的交易軌跡，記錄了 Lazarus Group 如何將 2 億美元從超過 25 起加密貨幣駭客事件中洗白為法幣，時間橫跨 2020 年至 2023 年。
2020 至 2023 年間，與北韓有疑似關聯的惡名昭彰 Lazarus Group 估計洗錢約 2 億美元。ZachXBT 與 MetaMask 安全團隊的 Taylor Monahan 及其他研究人員合作，分享了對 Lazarus 交易軌跡的調查——追蹤其透過混幣器和中心化交易所進行的 25 起以上駭客攻擊。
Security Alliance 推出了一個免費的資訊共享與分析中心（ISAC），專為開源加密貨幣生態系打造，同時支援中心化與去中心化實體。其 SEAL 911 計畫——samczsun 指出自前一年啟動以來已協助追回超過 5,000 萬美元——邀請各方利益相關者申請加入，包括交易所與交易平台、區塊鏈專案、錢包與儲存服務提供商、礦池與基礎設施提供商、專注於區塊鏈的網路安全公司與研究人員，以及法規遵循專家。
Bernhard Mueller 發布了一份對 Angel Drainer 的詳細分析，這是目前運作中最惡名昭彰的 drainer 服務之一。儘管該服務宣稱能夠繞過 Blockaid 的偵測，MetaMask 預設啟用的 Blockaid 功能仍能將該交易標記為詐騙，從而阻止完整攻擊的發生。
LastPass 用戶遭到一場複雜釣魚攻擊的鎖定，攻擊者結合電子郵件、簡訊和語音電話來竊取主密碼。攻擊者使用了 CryptoChameleon——一款專門針對加密貨幣帳戶、能夠繞過多因素驗證（MFA）的釣魚即服務工具包——誘騙用戶相信其 LastPass 帳戶已從新裝置登入，並將其引導至一個竊取憑證的釣魚網站。LastPass 已對此攻擊活動採取行動，這是針對該密碼管理器一系列攻擊的一部分，其中包括前一年披露的一起重大資料外洩事件。防禦之道其實很簡單：對於任何聲稱來自服務提供商的通訊，請透過其官方網站或客服專線進行核實，而非直接回覆；同時對於要求分享資訊、點擊連結或下載附件的主動且緊急請求保持警惕。
Google 對開發者 Yunfeng Sun 和 Hongnam Cheung 提起訴訟，指控其在 Google Play 商店上架 87 款詐騙加密貨幣應用程式，影響超過 10 萬名用戶，其中 8,700 人位於美國。這起在紐約南區聯邦法院提起的訴訟，描述了這些應用程式如何以加密貨幣投資為誘餌吸引用戶，再以提領所謂收益時收取手續費的方式困住他們，同時偽裝成合法交易平台，並透過不斷更換身份和網路基礎設施來逃避下架。這種「殺豬盤」式的詐騙提醒我們：在下載應用程式前務必研究並核實其合法性——仔細審查評論和社群媒體反饋——並謹記，看似好得不真實的報酬往往確實有詐。
近 2,000 個 WordPress 網站遭到入侵，顯示偽造的 NFT 和折扣彈出視窗，誘導訪客將錢包連接至加密貨幣 drainer。此攻擊活動最初透過廣告和 YouTube 推送 drainer，後來轉為暴力破解管理員密碼，現在則顯示詐騙性 NFT 優惠，誘騙用戶將錢包連接至來自 dynamic-linx[.]com 的惡意腳本。用戶應只將錢包連接至可信賴的平台，將大量資金存放於硬體錢包，日常錢包僅保留少量資產，並針對不同風險等級使用不同帳戶。
MetaMask 2024 年 4 月加密貨幣安全報告涵蓋了 ZachXBT 對 Lazarus Group 洗錢 2 億美元的調查、Security Alliance 免費原生加密貨幣 ISAC 的推出，以及針對 LastPass 用戶並繞過多因素驗證的 CryptoChameleon 釣魚攻擊活動。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在生態系中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
