加密貨幣安全報告：2023年1月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2023 年 1 月，MetaMask 的 LavaMoat 擴充了其安全工具箱——推出用於遞迴物件圖分析的 LavaTube、新增 VR 依賴關係探索器、將全域清除功能移入 MetaMask Extension 開發分支，並發布跨瀏覽器支援的 Snow——同時 Endo 也將其 LavaMoat 風格的政策支援推進至最終審查階段。在威脅方面，地址投毒詐騙透過在受害者的交易記錄中植入外觀相似的地址而逐漸盛行，安全研究人員將唯讀重入攻擊列為新興的 DeFi 攻擊向量，並對隱藏在假遊戲下載中的遠端存取木馬及透過假錢包網站濫用的 Chrome 漏洞發出警告。完整分析如下，但首先……

精選 STEM 先驅：Joan Clarke，布萊切利園密碼破譯者與 Banburismus 實踐者

Joan Clarke（1917–1996）是已知唯一執行過 Banburismus 的女性——這是由 Alan Turing 開發的序列貝葉斯密碼分析程序，用於在二戰期間減輕布萊切利園 Enigma 解密機器的工作負擔。Clarke 在看似隨機的資料中偵測細微統計規律的能力，與自託管錢包使用者在地址投毒攻擊中必須從幾乎相同的偽造地址中辨別合法地址的挑戰如出一轍。Clarke 於 1946 年因其對戰時情報工作的貢獻而獲頒 MBE 勳章。

地址投毒詐騙利用外觀相似的錢包地址欺騙使用者

地址投毒在進入 2023 年之際作為一種詐騙手法逐漸盛行。攻擊者產生與目標合法聯絡人地址開頭和結尾幾個字元相同的錢包地址，然後向目標發送零值或極小金額的代幣轉帳。這些交易會出現在受害者的交易記錄中，當受害者之後從該記錄中複製地址時——僅依賴比對開頭和結尾字元而非驗證完整字串——便會在不知情的情況下將資金發送給攻擊者。此詐騙手法利用了記憶完整 42 字元十六進位地址的實際不可能性，以及僅驗證地址前綴和後綴的常見習慣。

編輯備註：MetaMask 地址投毒偵測現已對所有使用者上線。

唯讀重入攻擊作為針對價格預言機的 DeFi 攻擊向量浮現

唯讀重入攻擊——經典重入攻擊的一種變體——在 2023 年 1 月引起 Solidity 開發者的廣泛關注。與針對狀態修改函數的傳統重入攻擊不同，唯讀重入攻擊利用的是回報價格或餘額的 view 函數。在狀態變更交易的回調視窗期間，攻擊者觸發對 view 函數的讀取，該函數回傳過時或不一致的資料，而依賴這些數值進行價格預言機或抵押品計算的協議便會基於被操縱的價格採取行動。安全研究員 bytes032 於 2023 年 1 月 20 日發布了一篇廣泛流傳的討論串，詳細分析了此漏洞，並透過新成立的 Web3Security DAO 發布。

LavaTube 為安全研究提供遞迴 JavaScript 物件圖遍歷功能

LavaMoat 推出了 @lavamoat/lavatube，這是一個能從給定起始參考遞迴訪問 JavaScript 物件圖中每個值的每個屬性的工具。MetaMask 安全研究團隊使用 LavaTube 來識別危險的參考洩漏——即原本應被隔離的物件或 API 在其所保護的應用程式中無意間暴露出通往強大全域變數或敏感資料路徑的情況。

LavaMoat 發布 VR 依賴關係探索器、全域清除功能與跨瀏覽器 Snow

@lavamoat/viz 新增了 VR 模式，讓開發者能在沉浸式三維環境中探索其專案的依賴關係圖。另外，全域清除功能——在 LavaMoat 擷取強大內建函數以供基於政策的授權使用後，將其從 window 中移除——已被引入 MetaMask Extension 開發分支。一旦發布，即使是惡意的 React 元件存取 window，也會發現那些強大的函數已不復存在。@lavamoat/snow 是 LavaMoat 的 realm 安全工具，在其最新版本中也新增了對所有主流瀏覽器的支援，讓 MetaMask 能完整掌握 Chrome 和 Firefox 上所有 realm 的狀況。

Endo 接近完成 LavaMoat 風格政策支援，安全打包工具進入審查階段

Endo 專案的首個 LavaMoat 風格政策支援迭代版本已進入最終審查。與 LavaMoat 政策完全對等仍有少數功能待完成，但未計劃進行任何重大變更。一個不依賴 eval 即可控制作用域的安全打包工具早期實作也在審查中——此舉消除了 JavaScript 模組系統中常見的攻擊面。

假遊戲下載被警告為遠端存取木馬的傳播途徑

2023 年 1 月 17 日，MetaMask 安全研究員 harry.eth (@sniko_) 警告，透過假遊戲下載散布的遠端存取木馬（RAT）預計將捲土重來。此社交工程手法涉及攻擊者偽裝成元宇宙遊戲專案的代表，以免費代幣換取「測試」遊戲客戶端，而該客戶端實際上是 RAT 安裝程式。一旦安裝，RAT 可讓攻擊者完全遠端存取受害者的裝置，通常隨後會進行 DeFi 網路釣魚以盜取代幣。

Wallet Guard 標記一個透過假錢包下載網站被濫用的 Chrome 漏洞

Wallet Guard 在記錄一個可被用於竊取加密貨幣錢包資料的 Google Chrome 漏洞後，警告使用者下載時需謹慎。該漏洞已於 2022 年 11 月 29 日在 Chrome 108 中修復，需要受害者造訪假加密貨幣錢包網站並「下載」其助記詞，之後攻擊者便可濫用符號連結檔案。核心建議：不要從不受信任的來源下載隨機檔案。

MetaMask 2023 年 1 月加密貨幣安全報告涵蓋了在交易記錄中植入外觀相似地址的地址投毒詐騙、唯讀重入攻擊作為獨特 DeFi 攻擊向量的浮現，以及 LavaMoat 推出 LavaTube 以揭露 JavaScript 物件圖中危險參考洩漏的相關內容。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在整個生態系統中保持安全的技巧。