每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2022 年 12 月，LavaMoat 在實驗性旗標後發布了 bin 混淆緩解措施，Endo 的 compartment-mapper 打包工具通過了初步的 CommonJS 概念驗證，Node.js 安全工作組也提出了一個流程層級的權限模型，與 LavaMoat 的逐套件方式相輔相成。在威脅方面，北韓的 Lazarus Group 透過偽造的加密貨幣應用程式散布新型 AppleJeus 惡意軟體，而一場長達一個月的社交工程詐騙則盜走了價值 107 萬美元的 14 隻 Bored Ape。年末，HackerOne 漏洞獎勵計畫的研究人員突破 100 位，PhishFort 追蹤到 19,571 起使用 MetaMask 品牌的網路釣魚攻擊，MetaMask 與 Laconic 也共同推出了 MobyMask 反網路釣魚計畫。完整內容如下，但首先……
Hedy Lamarr（1914–2000）與作曲家 George Antheil 於 1942 年共同申請了一項「秘密通訊系統」專利，利用跳頻技術防止無線電導引魚雷訊號遭到干擾。將訊號分散於快速切換頻率的概念，成為現代展頻技術的基礎，廣泛應用於 Wi-Fi、藍牙與 GPS——正是這些無線協定將自我託管錢包使用者連接至區塊鏈網路。Lamarr 於 2014 年入選美國國家發明家名人堂。
LavaMoat 發布了帶有 --experimental-bins 旗標的 @lavamoat/allow-scripts，為 npm 和 Yarn 1 專案提供針對 npm bin 腳本混淆攻擊的防護。此緩解措施可防止惡意套件透過 npm 的 bin 欄位連結行為劫持合法的 CLI 指令。
Endo 專案在打包方面的工作持續深化。一系列相容性修復使 compartment-mapper 打包工具更接近可用於實際專案的狀態，CommonJS 支援的初步概念驗證也順利通過測試。
Node.js 安全工作組提出了首個權限模型提案，以補充現有的 Policy 系統。其目標與 LavaMoat 相似：減少半受信任第三方程式碼所能存取的系統資源。所提出的方式類似於 Deno 的權限系統，在流程層級設定系統存取權限，而 LavaMoat 則透過在流程內的套件層級設定存取權限，實現更細緻的隔離。一旦 Node.js 權限模型成熟並正式發布，應可與 LavaMoat 搭配使用，提供更強大的供應鏈防護。
北韓的 Lazarus Group 被發現透過偽造的加密貨幣應用程式與網站散布新型 AppleJeus 惡意軟體，毫無戒心的使用者可能在不知情的情況下下載該惡意軟體。此事件由 Volexity 於 2022 年 12 月 5 日報告，並由 The Hacker News 進行報導。
安全分析師 Serpent 記錄了一場長達一個月的社交工程詐騙，從單一收藏家手中盜走了 14 個 BAYC NFT，價值超過 852 ETH（107 萬美元），並於 2022 年 12 月 17 日分享了分析報告。社交工程在這一年中始終是惡意行為者最有效的手段之一，像這樣精心策劃的詐騙往往歷時數週，而非數分鐘。
透過 HackerOne 漏洞獎勵計畫，MetaMask 與超過 100 位獨立研究人員建立了合作關係，協助在這一年中識別出多項漏洞，為使用者帶來更安全的使用體驗。該計畫持續歡迎新參與者加入並追求獎勵。
在這一年中，PhishFort 偵測到 19,571 起使用 MetaMask 品牌的攻擊，並在最後 30 天內成功下架 1,873 個釣魚活動。MetaMask 也在瀏覽器擴充功能和行動應用程式中推行已知釣魚封鎖措施，涵蓋 MetaMask 冒充行為及其他 Web3 品牌仿冒。封鎖清單由 Consensys/MetaMask 擁有並管理，每天更新多次。
MetaMask 推出了 MobyMask，這是一項主動保護使用者免受網路釣魚侵害的新計畫，採用動態信任網絡來篩選釣魚舉報來源，由 Laconic 協助開發。
MetaMask 2022 年 12 月加密貨幣安全報告涵蓋了 Lazarus Group 透過偽造加密貨幣應用程式散布的新型 AppleJeus 惡意軟體、一場長達一個月盜走價值 107 萬美元 14 隻 Bored Ape 的社交工程詐騙，以及年終總結——包括 LavaMoat 的 bin 混淆緩解措施、PhishFort 的釣魚網站下架行動，以及 MobyMask 反網路釣魚計畫的推出。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢與生態系安全防護建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
