加密貨幣安全報告：2024年8月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2024 年 8 月，MetaMask 分享了全新 Wallet Guard 整合如何為用戶提供額外的安全防護層。此外，Gal Weizman 也分享了他對 CSS 注入、LavaDome 與 Shadow DOM 的見解。我們還公布了最新威脅與攻擊的詳細資訊：Cthulhu Stealer 惡意軟體鎖定 Mac 用戶，以及一個偽裝成開發者職缺的惡意 npm 套件竊取加密貨幣與帳戶憑證。最後但同樣重要的是，ZachXBT 揭露了北韓 IT 工作者以開發者身份潛入逾 25 個加密貨幣專案的事件。完整內容如下，但首先……

精選 STEM 先驅：Grace Hopper，機器無關程式語言的開創者

Grace Hopper（1906–1992）是美國海軍少將暨電腦科學家，她率先提出機器無關程式語言的理論——這項研究奠定了 COBOL 的發展基礎——並被譽為撰寫第一份電腦操作手冊的先驅。她也常被認為是普及「除錯（debugging）」一詞的重要推手。她的1982 年經典演講非常值得一看。Hopper 致力於讓電腦運算變得易於理解與普及，這與當今優質資安教育所仰賴的核心精神如出一轍。

Wallet Guard 整合讓 MetaMask 更加安全

Wallet Guard 於 2024 年 7 月加入 Consensys，MetaMask 詳細說明了此次整合讓 MetaMask 更安全的三種方式：核心技術整合、全面的生命週期保護，以及更快速的威脅應對能力。

即將登場：MetaMask 與 Wallet Guard 於 2024 年 9 月 25 日舉辦安全現況 X Space

由 MetaMask 與 Wallet Guard 共同主辦的下一場安全現況 X Space 預定於 2024 年 9 月 25 日舉行，將深入探討當前加密貨幣威脅態勢及最佳安全實踐，MetaMask 威脅情報與安全研究團隊的 Miles 與 Jackson 也將共同參與。錯過直播的朋友可在此處收聽錄音。

Gal Weizman 談 CSS 注入、LavaDome 與 Shadow DOM

針對Critical Thinking - Bug Bounty Podcast 近期一集關於 CSS 注入漏洞的討論，Gal Weizman 在一則回應中說明了 LavaDome 的設計理念，以及為何選擇使用 Shadow DOM 而非 iframe 來兼顧安全性與使用者體驗。他的討論串強調了將敏感資料安全整合至網頁應用程式、填補網頁安全設計漏洞的更宏觀目標，並重新審視了 Snow 專案如何促使瀏覽器廠商考慮在瀏覽器層面解決同源問題。

Cthulhu Stealer 惡意軟體鎖定 Mac 用戶

事件經過

Cthulhu Stealer 惡意軟體鎖定 macOS 用戶，打破了 macOS 系統不受惡意軟體威脅的迷思。這款惡意軟體以惡意軟體即服務（MaaS）模式開發，透過 Apple 磁碟映像檔偽裝成合法軟體，在執行時要求用戶輸入系統密碼與 MetaMask 密碼。該惡意軟體隨後竊取多種敏感資訊，包括加密貨幣錢包與瀏覽器 Cookie，並將其儲存於特定目錄以便外洩。Cthulhu Stealer 在功能上與 Atomic Stealer 惡意軟體相似，是針對 macOS 的惡意軟體日益增長趨勢的一部分，凸顯了 Apple 用戶保持警覺的必要性。

用戶如何保持防護

為防範 Cthulhu Stealer 等威脅，macOS 用戶應僅從 Apple App Store 或官方開發者網站等可信來源下載軟體。啟用 Gatekeeper 等內建安全功能（可封鎖未經驗證的應用程式），以及保持系統與應用程式更新至最新安全修補程式，同樣至關重要。此外，使用信譽良好的防毒軟體可提供額外的保護層。

透過持續了解潛在威脅並採取這些主動的安全措施，用戶可大幅降低遭受惡意軟體感染的風險，並保護其敏感資訊。

偽裝成開發者職缺的惡意 npm 套件

這場以假冒職缺廣告鎖定開發者、持續數月的複雜惡意軟體攻擊活動絲毫沒有停歇的跡象。該惡意軟體偽裝成名為「execution-time-async」的合法 npm 套件，安裝惡意腳本以竊取受害者的加密貨幣與帳戶憑證。攻擊者巧妙地將惡意軟體隱藏於測試檔案中，利用社交工程技術誘使開發者下載並執行受感染的套件。此惡意軟體可能是更大規模社交工程攻擊活動的一部分，並與北韓國家支持的活動存在關聯。

ZachXBT 揭露北韓開發者潛入逾 25 個加密貨幣專案

事件經過

一個團隊發現其資金庫有 130 萬美元不翼而飛後，轉而委託 ZachXBT 展開調查。他發現該團隊在不知情的情況下僱用了以假身份偽裝成開發者的北韓（DPRK）IT 工作者，被盜資金則透過複雜的交易所、跨鏈橋與混幣器路徑進行洗錢。ZachXBT 進一步識別出逾 25 個同樣僱用了北韓開發者的加密貨幣專案。

用戶如何保護自身

此事件凸顯了對團隊成員進行嚴格審查與監控的重要性，尤其是擔任可存取敏感業務職位的成員。團隊應實施嚴格的背景調查、採用安全的程式碼實踐，並對資金庫交易保持嚴密監督。此外，培養安全意識文化並鼓勵舉報可疑活動，可進一步保障團隊安全。

MetaMask 2024 年 8 月加密貨幣安全報告涵蓋了為 MetaMask 新增多層防護的 Wallet Guard 整合、鎖定 Mac 用戶的 Cthulhu Stealer 惡意軟體，以及 ZachXBT 揭露北韓 IT 工作者以開發者身份潛入逾 25 個加密貨幣專案的事件。瀏覽MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在生態系統中保持安全的實用建議。