每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2023 年 8 月，來自 MetaMask、Paradigm、Yearn 和 Polygon 的安全專家共同推出了 Seal 911——一個專為加密貨幣緊急事件設計的實驗性 Telegram 熱線。與此同時，MetaMask 亮相 Defcon 及 Ethereum Argentina，Gal Weizman 也為 Snow 設定了更大膽的安全優先方向。在幕後，LavaMoat 實現了發布自動化，並推進了 ScorchWrap 插件與行動版 SES lockdown 的開發。此外，我們也報告了另一起真實的供應鏈攻擊事件：一個仿冒 Ethereum npm 套件竊取了私鑰——這正是 LavaMoat 所設計要防範的威脅類型。完整分析如下，但首先……
Émile Baudot（1845–1903）是一位法國電報工程師，發明了 Baudot 碼——一種早期的固定長度字元編碼，是數位通訊最早的實用方式之一，也是 ASCII 的前身。「baud」（鮑率）這個單位即以他命名。他在資訊編碼與傳輸標準化方面的貢獻，奠定了當今整個生態系所依賴的安全、可靠資料交換的基礎。
來自 MetaMask 以及 Paradigm、Yearn 和 Polygon 的安全專家攜手合作，為遭遇加密貨幣緊急事件的用戶打造了一個實驗性的 Telegram 機器人熱線，MetaMask 的 Taylor Monahan 和 Harry Denley 也參與了這個名為 Seal 911 的專案。正如 samczsun 於 2023 年 8 月 8 日所說明的，這個團隊致力於解決負責任披露中最困難的環節——找到對的人溝通。最終成果是一個 Seal 911 機器人，任何人在緊急情況下都可以透過它聯繫到安全社群中值得信賴的成員及其廣泛的聯絡網絡。
在 LavaMoat Snow 的最新更新中，MetaMask 的 Gal Weizman 宣示了更大膽的方向：「今天對 Snow 來說是重要的一天，我們成熟地意識到，為了讓這個專案不再追求被動式防禦安全，必須採取一些大膽的步驟，即便這會犧牲採用率與功能行為。」換句話說，Snow 將優先確保更強的安全保障，即使這會降低便利性或相容性。
在拉斯維加斯舉辦的 Defcon 2023 年 8 月 AppSec Village 活動中，MetaMask 的 Zbigniew Tenerowicz（ZB）與 Kumavis 主持了一場關於強化 JavaScript 與軟體供應鏈風險的防禦性程式設計工作坊。雖然沒有錄影，但課程內容與簡報均已公開。
「你聽說過軟體供應鏈嗎？對，就是那件事——原來你終究要為你的應用程式從
安全設計專家 Antonela Debiasi 登上 Ethereum Argentina 主舞台，深入探討加密貨幣網路中的信任模型，並區分了信任指標與企業安全指標之間的差異。
LavaMoat monorepo 正在切換至 npm workspaces 並採用 release-please 進行版本管理，這將使 LavaMoat 的發布流程實現自動化並大幅提速。ScorchWrap webpack 插件現已支援多個進入點與 chunk，並已實作對模組依賴的政策強制執行；首個 beta 版本的剩餘工作為對全域變數的政策強制執行。與此同時，SES lockdown 正被拆分為兩個階段，以允許「Vetted Shims」在修復後、凍結前套用至內建物件——此變更應能提升相容性，並解除在 MetaMask Mobile 上執行 lockdown 的最後幾個阻礙之一。在行動端，SES 持續在打包前執行 lockdown，並允許將 reflect-metadata 作為受信任的 shim，因為它是 @consensys/on-ramp-sdk 的直接依賴項，作為包裹設定畫面的高階元件使用。
Phylum 於 2023 年 8 月初報告，其收到警報，發現一系列可疑的 npm 發布，包括一個仿冒熱門加密貨幣函式庫的套件，以及一個將惡意程式碼深藏於大型檔案中的依賴項——大多數開發者根本不會仔細審查這類檔案。該套件會將私鑰外洩至遠端伺服器——這正是 LavaMoat 所設計要防範的軟體供應鏈攻擊類型。
MetaMask 2023 年 8 月加密貨幣安全報告涵蓋了 Seal 911 的推出（一個跨組織的加密貨幣緊急事件 Telegram 熱線）、Snow 大膽的安全優先新方向，以及一個竊取私鑰的仿冒 Ethereum npm 套件。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢，以及在整個生態系中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
