加密貨幣安全報告：2022年8月

每個月，MetaMask 安全團隊都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2022 年 8 月，Endo 專案在其 compartment mapper 中驗證了 LavaMoat 風格的政策執行機制；Snow 工具修補了多個漏洞，並探索 SES lockdown 整合的可能性；MetaMask 的 HackerOne 漏洞獎勵計畫在上線首兩個月內，針對五個已解決的問題共發放了 22,000 美元的獎金。在威脅方面，網路釣魚集團趁著以太坊即將到來的 Merge 升級引發的混亂，大量發送冒充 Infura 等可信任機構的電子郵件，誘導用戶進行根本不存在的「ETH 2.0」轉換；與此同時，更廣泛的詐騙生態也持續擴張：估計 2022 年共有 64,661 個新的蜜罐代幣上線，較 2021 年增加 83%。完整分析如下，但首先……

精選 STEM 先驅：Leslie Lamport，拜占庭容錯理論與 LaTeX 的創始人

Leslie Lamport 於 1982 年發表的論文《拜占庭將軍問題》，正式定義了分散式節點在部分節點可能惡意行動的情況下達成共識的挑戰——而這正是權益證明與工作量證明協議為保障區塊鏈網路安全所要解決的核心問題。他的 Paxos 共識演算法是現代分散式系統的基石，他也創建了廣泛應用於科學出版領域的文件排版系統 LaTeX。Lamport 於 2013 年榮獲 ACM 圖靈獎。

以太坊 Merge 網路釣魚活動冒充可信任機構，推出假冒 ETH 2.0 轉換詐騙

2022 年 8 月，詐騙者加大力度發動網路釣魚攻擊，企圖利用以太坊 Merge 網路升級（已於 2022 年 9 月 15 日完成）所引發的混亂與不確定性。精心偽造的電子郵件冒充 Infura 等可信任機構廣泛流傳，誘導用戶「將 ETH 轉換為 ETH 2.0」——而這個代幣根本不存在。Merge 將以太坊從工作量證明轉換為權益證明，完全不需要用戶採取任何行動：無需代幣兌換、無需新錢包，也無需遷移 ETH。在 Merge 即將到來之際，Consensys 發布了闢謠內容以對抗錯誤資訊。在 MetaMask 等 EVM 相容自託管錢包中持有 ETH 的用戶，在 Merge 網路升級後無需採取任何行動。

加密貨幣蜜罐詐騙利用隱藏的智能合約限制困住買家資金

Consensys 發布了一份蜜罐詐騙機制指南，說明攻擊者如何部署看似提供獲利交易機會、實則包含隱藏程式碼阻止買家賣出的智能合約。合約允許購買，推動代幣價格上漲，同時一個隱藏的限制條件封鎖了除部署者地址以外的所有賣出交易。常見的警示跡象包括：沒有賣出紀錄的代幣、未經驗證的合約原始碼，以及單一錢包的流動性池。

Endo compartment mapper 在概念驗證中實現 LavaMoat 風格的政策執行

Endo 專案完成了一項概念驗證，將 LavaMoat 風格的安全政策整合至其 compartment mapper。此實驗展示了對全域變數的選擇性授權以及對依賴項的受控存取，政策在載入時或建立封存檔期間定義，嵌入 compartment mapper 中，並在連結階段強制執行。計畫中的後續工作包括改善套件識別符、政策全域中的巢狀屬性支援、授權函式的值包裝與解包，以及進一步探索內建衰減機制。

Snow 修補多個漏洞並探索 SES lockdown 整合

Snow 是 LavaMoat 的工具，可在 Web 應用程式中所有建立的 iframe 和視窗之間強制執行遞迴安全政策。此工具經歷了一輪測試與漏洞挖掘，識別並修補了多個漏洞，其中一個漏洞的修復觸發了 Snow 內部安全架構的重大改進。此修復開啟了整合 SES lockdown()——即 Secure ECMAScript 強化函式——的可能性，以進一步強化 Snow 對基於 realm 攻擊的防禦能力。LavaMoat 也開始對其工具文件進行全面更新。

HackerOne 漏洞獎勵計畫在上線首兩個月內針對 5 個已解決問題共發放 22,000 美元

我們在 HackerOne 上的漏洞獎勵計畫於 2022 年 6 月 13 日正式上線，在首兩個月內共收到 171 份報告。平均首次回應時間為 5 小時。共解決了五個問題——1 個高危、3 個中危、1 個低危——並向回報者發放了 22,000 美元的獎金。這些問題的平均修復時間為 44.4 天。納入範圍的資產包括 MetaMask Extension（MetaMask/metamask-extension）和 MetaMask Mobile（MetaMask/metamask-mobile）。

已解決的漏洞獎勵問題（前兩個月）：

MetaMask 2022 年 8 月加密貨幣安全報告涵蓋了：冒充可信任機構推出假冒 ETH 2.0 轉換詐騙的以太坊 Merge 網路釣魚活動、加密貨幣蜜罐詐騙機制（估計 2022 年共部署了 64,661 個新蜜罐代幣），以及 Endo 將 LavaMoat 風格政策執行整合至其 compartment mapper 的概念驗證。瀏覽MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢，以及在整個生態系統中保持安全的實用建議。