每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2022 年 7 月，LavaMoat 專案發布了三款實驗性瀏覽器防禦工具——Securely、Snow 和 Across——以抵禦原型污染（prototype pollution）和跨域 JavaScript 攻擊，同時 Endo 專案也完成了長期執行的 CommonJS 支援路線圖。在威脅方面，MetaMask 安全研究員 harry.eth 發現了一個偽造的 $UNI 空投釣魚攻擊，共有 73,399 個 Uniswap 流動性提供者受害，損失約 800 萬美元；此外還有一個 YouTube 詐騙活動，推廣偽造的 MEV 搶先交易機器人，其混淆的 Solidity 合約會直接抽走用戶存入的 ETH。MetaMask 也發布了一份避免 NFT 詐騙的指南，涵蓋 Discord、Twitter 和 Telegram 等平台，並持續透過 HackerOne 漏洞獎勵計畫接受回報。完整內容如下，但首先……
Ralph Merkle 在 1970 年代與 Whitfield Diffie 和 Martin Hellman 共同發明了公鑰密碼學，並在就讀加州大學柏克萊分校大學部期間獨立提出了 Merkle's Puzzles。他於 1979 年完成的史丹佛大學博士論文引入了 Merkle 樹（雜湊樹）和 Merkle-Damgård 結構，這些成果奠定了區塊鏈驗證、數位簽章以及自託管錢包軟體所依賴的完整性檢查所使用的雜湊函數基礎。Merkle 於 2010 年榮獲 IEEE Richard W. Hamming 獎章，並於 2011 年入選美國國家發明家名人堂。
MetaMask 的開源 LavaMoat 專案發布了 3 款實驗性工具，專為防禦瀏覽器應用程式遭受 JavaScript 供應鏈攻擊而設計：
Securely 可保護原生瀏覽器 API（例如 fetch）的專屬存取權，即使在同一執行環境中運行的第三方程式碼透過原型污染或中間人瀏覽器（MITB）技術對其進行竄改，也能維持安全存取。Snow 會攔截網頁應用程式中每個新建立的 iframe 或域（realm），並套用與頂層視窗相同的安全策略，堵住攻擊者透過建立新 iframe 來取得未被竄改 API 參考的常見手法。Snow 建構於 Securely 之上。Across 在附加於同一 DOM 的兩個腳本之間建立安全通訊頻道，透過來源 URL 進行識別，無需伺服器端中介。Across 同時使用 Securely 和 Snow 來保護該頻道。
三款工具均以實驗性版本發布。Securely、Snow 和 Across 均提供示範頁面。
Endo 專案合併了 CommonJS 模組支援的最終修復，並關閉了自 2022 年初開放的 CommonJS 支援追蹤議題（endojs/endo #1055）。TC39 模組規範的持續推進引發了關於虛擬化模組載入器是否應支援匯入具有特定 getter 和 setter 需求的 CommonJS 模組的討論。此領域的進一步研究可能促使 Endo 的 CommonJS 支援出現額外變更，或將其定位為該規範的先行技術。
2022 年 7 月 11 日，我們的安全研究員 harry.eth 發現一起釣魚攻擊活動，該攻擊向 73,399 個地址發送了惡意代幣，這些地址均曾在 Uniswap 上提供流動性，攻擊者假冒 $UNI 空投進行詐騙。攻擊源自地址 0xcf39b7793512f03f2893c16459fd72e65d2ed00c，在被發現前約兩小時開始。與該代幣互動的用戶會被提示簽署 setApprovalForAll() 交易，從而授予攻擊者提取其 LP 倉位的權限。此次攻擊活動最終從受害者處竊取了約 800 萬美元。此漏洞並非存在於 Uniswap 協議本身。
2022 年 7 月，我們的安全研究員 harry.eth 也發現了一個在 YouTube 上流傳的詐騙教學影片，該影片在一個擁有 26,400 名訂閱者的頻道上累積了 97,000 次觀看。這些影片通常以「如何在 Uniswap 上每天賺取 $XXX」為標題，指導用戶部署一個被描述為 MEV 搶先交易機器人的 Solidity 合約。所部署的合約包含混淆程式碼，一旦充值，便會將存入的 ETH 直接轉移至攻擊者的錢包。此詐騙手法利用了合法的 MEV 術語來製造可信度。
我們發布了一篇關於如何避免 NFT 詐騙的支援文章，涵蓋 Discord、Twitter 和 Telegram 等平台上的常見攻擊手法，詐騙者會利用 NFT 社群頻道對持有者進行釣魚攻擊。文章涵蓋惡意鑄造連結、偽造空投公告、遭入侵的社群管理員帳號，以及透過私訊進行的社交工程攻擊。主要建議包括：對照官方專案網站核實 URL、在社群 Discord 中關閉私訊功能，以及將錢包中意外出現的 NFT 視為潛在釣魚攻擊媒介。
我們在 HackerOne 上的漏洞獎勵計畫持續接受涵蓋 MetaMask 擴充功能（GitHub 儲存庫）和 MetaMask 行動版（GitHub 儲存庫）的回報。
MetaMask 2022 年 7 月加密貨幣安全報告涵蓋了 LavaMoat 推出的三款實驗性瀏覽器防禦工具——Securely、Snow 和 Across——針對原型污染和跨域 JavaScript 攻擊；偽造 $UNI 空投釣魚攻擊波及逾 73,000 個 Uniswap LP 地址，損失約 800 萬美元；以及利用混淆 Solidity 合約抽走存入 ETH 的 YouTube MEV 機器人教學詐騙。瀏覽往期 MetaMask 加密貨幣安全報告，了解更多威脅、趨勢及生態系統安全防護建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
