每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 2 月對 MetaMask 安全更新而言是充實的一個月。由 Blockaid 驅動的安全警報已在多個以太坊網路上預設啟用，我們也在開源工具套件 LavaMoat 中新增了深度防禦功能 LavaDome，以防範供應鏈攻擊。在整個生態系統層面，Security Alliance（SEAL）——旗下設有 SEAL 911 及全新的 Whitehat Safe Harbor Agreement——正式公開亮相。在威脅方面，駭客劫持了 MicroStrategy 的 X 帳號，發動一場獲利 44 萬美元的網路釣魚攻擊，研究人員也將另外 620 萬美元的盜竊案與 2022 年 LastPass 資料外洩事件相連結。完整分析如下，但首先……
Granville T. Woods（1856–1910）是一位多產的美國發明家與電機工程師，持有近 60 項專利，其中最著名的是同步多工鐵路電報——一種感應電報系統，能讓行進中的列車與車站相互通訊，大幅提升鐵路安全。Woods 常被稱為「黑人愛迪生」，他所建立的系統將可靠的通訊本身視為一種安全機制，這與今日安全可信賴的基礎設施所依循的原則如出一轍。
MetaMask 整合了由 Blockaid 驅動的安全警報，並在多個以太坊虛擬機（EVM）網路上自動啟用，以應對惡意交易日益嚴重的問題。新的安全警報為數百萬 MetaMask 用戶提供額外保護，抵禦在 2023 年大幅增加的加密貨幣網路釣魚攻擊。您可以將 Blockaid 驅動的警報視為保護用戶免受詐騙的又一工具，與基本安全習慣搭配使用效果最佳。它們為惡意交易提供了真實的防護層，再搭配安全 Snaps，可呈現 MetaMask 原生未顯示的交易細節。儘管如此，沒有任何自動化工具能阻止社交工程攻擊，因此基本原則最為重要——從不安裝未經驗證的軟體、對私訊中冒充客服人員的帳號保持警惕、對過於吸引人的網路人設抱持懷疑，以及絕不與任何網站或任何人分享您的私鑰或助記詞。
自我託管是指選擇自行保管金鑰，而非交由第三方保管，這將資金安全的責任掌握在您自己手中。這份責任是真實存在的：歷來建立 MetaMask 錢包所需的 12 個單字助記詞，要同時保持機密又確保安全並非易事。因此，MetaMask 正在擴展您在維持自我託管的同時管理帳戶的方式。它推出了 Account Management Snaps，為開發這些解決方案的團隊提供無需許可的途徑，將其交付給 MetaMask 用戶；並於 2024 年 2 月在 MetaMask Extension 中推出了 Keyring API，讓開發者能夠實現自己的帳戶管理概念。用戶受邀試用實驗性測試版中的前三款 Snaps：Silent Shard、Safeheron 和 Capsule，歡迎透過意見回饋頁面提供意見。
LavaDome 是 LavaMoat 供應鏈安全工具箱中最新的實驗性工具。它利用 Shadow DOM 網頁 API，能夠實作僅限前端的元件，只允許用戶與受信任的程式碼進行互動，同時阻擋不受信任的 JavaScript 和 CSS 的存取嘗試。其目標是縱深防禦：即使所有其他防護措施均已失效，仍能保護 LavaMoat 保護應用程式中顯示的最關鍵內容。
Security Alliance（SEAL）是網路安全社群為提升加密貨幣生態系統整體安全性而共同發起的計畫，於 2024 年 2 月 14 日正式公開亮相。此前它一直低調運作，主導推動了 SEAL 911（由頂尖安全專家組成的快速應變服務台）和 SEAL Drills（攻擊模擬訓練）等計畫。SEAL 也宣布了其 Whitehat Safe Harbor Agreement，這是一套針對道德駭客和最大可提取價值（MEV）機器人的框架，適用於介入正在發生的公開安全事件的情況——在攻擊進行中且任何已追回資金被重新導向至指定地點的前提下，允許他們預先處理漏洞利用行為。正如 SEAL 共同創辦人 samczsun 所宣布，該團隊在公開亮相前已私下推動這些安全計畫約一年半的時間。
MicroStrategy 的官方 X 帳號於 2024 年 2 月 26 日遭到駭客入侵，被用來宣傳一個假冒的以太坊 MSTR 代幣空投，PeckShield 隨即向用戶發出釣魚連結警告。此事件導致約 44 萬美元的資金被盜，其中大部分據報來自單一受害者。攻擊者在開始轉移資金的同時，在其地址中留下了約價值 19.5 萬美元的以太坊。截至撰文時，該 drainer 尚未被確認身份，但許多研究人員開始將其歸因於 Pink Drainer。
與此前 Vitalik Buterin 的 X 帳號遭駭事件相同，即使是受信任的社群媒體帳號也可能遭到入侵。請務必記得在點擊連結或簽署交易前先暫停思考，將大量資金存放在硬體錢包中，並針對不同風險等級使用不同類型的帳戶和錢包。
在與 LastPass 攻擊事件相關的最新盜竊案中，超過 22 名受害者在 2024 年 2 月 19 日至 20 日期間合計損失 620 萬美元，被盜資金迅速從 EVM 網路轉移至比特幣。為協助追蹤與歸因，ZachXBT 和 Taylor Monahan 在一份 Chainabuse 報告中記錄了攻擊者使用的鏈上地址。該公開記錄標記了持有被盜資金的錢包，讓交易所、錢包及其他服務能夠監控、凍結或封鎖這些地址，並在潛在受害者與攻擊者帳戶互動前發出警告。
自 LastPass 原始資料外洩事件發生以來，社群成員——包括將助記詞儲存在 LastPass 中的協議創辦人、投資者、開發者和用戶——已損失超過 1,000 萬美元。任何在 2022 年 12 月駭客入侵事件前使用過 LastPass 的人，都應將其儲存的金鑰視為已遭洩露，將餘額轉移至新錢包，並將大量資金移至經過驗證的硬體錢包進行安全的離線儲存。
MetaMask 2024 年 2 月加密貨幣安全報告涵蓋了 Blockaid 驅動的安全警報成為多個網路的預設設定、Account Management Snaps 與 Keyring API 的推出，以及 Security Alliance（SEAL）的公開亮相，同時報導了 44 萬美元的 MicroStrategy X 帳號駭客事件，以及持續發生的 620 萬美元 LastPass 相關盜竊案。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在整個生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
