加密貨幣安全報告：2023年2月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2023 年 2 月，MetaMask 預設停用 eth_sign，以遏制一波簽名釣魚工具包的濫用，此舉可能促使惡名昭彰的 Monkey Drainer 集團宣告解散；與此同時，Endo 與 LavaMoat 團隊也在安全打包、webpack 隔離區映射插件，以及 MetaMask Snaps 強化防護方面取得進展。在威脅面，Namecheap／SendGrid 的資料外洩讓攻擊者得以發送冒用 MetaMask 品牌的釣魚郵件；一起 Google Fi SIM 卡劫持事件導致受害者的 Coinbase 帳戶與雙重驗證應用程式遭到入侵；另有一個透過 Google 廣告推廣的假冒 EthDenver 網站，被發現與一個惡名昭彰的釣魚錢包有所關聯。完整分析如下，但首先……

精選 STEM 先驅人物：Emmett Chappelle，生物發光研究員暨 NASA 科學家

Emmett Chappelle（1925–2019）是一位美國生物化學家，以生物發光領域的研究享譽學界。他開發出利用發光反應偵測細菌與生命跡象的方法，使原本肉眼不可見的存在得以現形——這些技術後來被應用於 NASA 的生命探索任務，以及快速污染檢測。他將微弱訊號轉化為可靠偵測結果的研究，與日常安全工作中在危害發生前揭露隱藏威脅的挑戰不謀而合。Chappelle 持有 14 項專利，被譽為 20 世紀最傑出的美國黑人科學家之一。

MetaMask 預設停用 eth_sign，Monkey Drainer 釣魚集團同步宣告解散

MetaMask 觀察到釣魚工具包濫用 eth_sign 誘騙用戶簽署惡意交易的顯著趨勢。為在保護用戶與維護用戶自主性之間取得平衡，MetaMask 預設停用 eth_sign，並在進階設定中保留切換選項，供仍有需求的用戶使用，詳情請參閱擴充功能 PR。MetaMask 技術支援工程師 Devin Shin 表示，他在實際操作中見證了此變更的成效：在調查某個詐騙網站時，「什麼都沒有發生」，主控台日誌顯示該網站曾嘗試觸發 eth_sign 交易，但因近期的變更而失敗。月底，此變更可能間接促成了 Monkey Drainer NFT 釣魚集團的瓦解——@0xFantasy 指出，該集團已於 2023 年 2 月 28 日由其所有者宣布關閉。

Namecheap 與 SendGrid 資料外洩，冒用 MetaMask 品牌的釣魚郵件大量發送

攻擊者發送冒用 MetaMask 品牌的釣魚郵件，要求收件人輸入其秘密恢復短語。為反制此詐騙行動，我們於 2023 年 2 月 12 日在 Twitter 上標記了這起備受矚目的釣魚攻擊，並提醒用戶：MetaMask 絕對不會要求您提供秘密恢復短語或私鑰。

此次外洩並未直接影響 MetaMask；攻擊者是透過 Namecheap 的網域發送這些郵件。Namecheap 起初將事件歸咎於其上游服務商 SendGrid，並隨後在其 Twitter 帳號發表聲明，但截至 2023 年 2 月 28 日，兩份聲明似乎均已撤除。Bleeping Computer 對此事件進行了報導。

Endo 將安全打包拆分為兩個階段，並新增全域變數的政策衰減功能

Endo 專案採用了一種安全打包的新方法，將工作拆分為兩個階段，以便與更多現有生態系統工具整合：第一階段，透過 webpack 等現有工具的插件建立隔離區映射與轉換後的原始碼，並儲存為應用程式封存檔；第二階段，打包工具將該封存檔轉換為安全的打包檔案。此拆分設計應能降低支援新打包工具的工作量，並減少破壞打包工具安全性的風險。Endo 也在政策中新增了全域變數的衰減功能，為隔離區映射器帶來與 LavaMoat 政策完全相容的基礎，包含一個實作「寫入」全域政策的概念驗證衰減器。

LavaMoat 啟動 webpack 隔離區映射插件開發，並修補 Snow 繞過漏洞

LavaMoat 開始了webpack 插件的初期開發工作，以生成與 Endo 相容的隔離區映射。另外，@lavamoat/snow 停用了從 Blob 和 File 物件建立 URL 物件的功能，以防止其 realm 保護機制遭到繞過。

LavaMoat 強化 MetaMask Snaps 防護，並研究 Chrome iframe 沙盒機制

LavaMoat 團隊協助強化了開放給 MetaMask Snaps 使用的功能，並針對 Chrome 中 iframe 沙盒機制的意外副作用進行了研究。

Google Fi SIM 卡劫持攻擊，受害者 Coinbase 帳戶與雙重驗證應用程式遭入侵

在另一起 SIM 卡劫持案例中，一名 Google Fi 用戶的 Coinbase 帳戶與雙重驗證應用程式遭攻擊者劫持，據 TechCrunch 報導，Google Fi 通知該用戶，駭客竊取了部分客戶的資訊，此事件可能與 T-Mobile 近期的資料外洩事件有所關聯。情況雖看似已獲解決，但受影響客戶的電話號碼安全性仍存有疑慮。TechCrunch 報導了相關細節。

假冒 EthDenver 2023 網站透過 Google 廣告推廣，與惡名昭彰的釣魚錢包有所關聯

在 EthDenver 2023——以太坊生態系最重要的活動之一——舉辦前夕，一個透過 Google 廣告推廣的假冒 Ethereum Denver 網站被發現與一個惡名昭彰的釣魚錢包有所關聯。此案再次提醒我們：在前往加密貨幣或活動相關網站時，切勿輕信 Google 廣告的搜尋結果。

MetaMask 2023 年 2 月加密貨幣安全報告涵蓋了以下內容：MetaMask 在 Monkey Drainer 釣魚集團解散之際預設停用 eth_sign、Namecheap 與 SendGrid 資料外洩事件被用於發送冒用 MetaMask 品牌的釣魚郵件，以及 Google Fi SIM 卡劫持攻擊導致受害者 Coinbase 帳戶與雙重驗證應用程式遭入侵。瀏覽往期 MetaMask 加密貨幣安全報告，了解更多威脅、趨勢，以及在整個生態系中保持安全的實用建議。