每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2023 年 7 月，MetaMask 安全團隊在 DeFi 安全峰會上發表了 Menpo——一套用於整理 DeFi 事件的 STIX 2.1 標準；Gal Weizman 完成了一個三部曲 X 系列，說明 LavaMoat 的 scuttling 與 Snow 如何強化供應鏈安全；LavaMoat 也持續推進其 ScorchWrap webpack 插件與 EIP-4361 相關工作。在威脅面，本月報告也揭露了濫用代幣授權的殺豬盤（shāz hū pán）與假挖礦詐騙、一種利用空投 gas 代幣的新型假授權詐騙，以及 Lazarus Group 針對加密貨幣與資安開發者散布 npm 惡意軟體的社會工程攻擊活動。完整內容如下，但首先……
Josephine Jue 是 NASA 的數學家暨航太技術專家，被譽為 NASA「隱藏人物」之一，也是最早在 NASA 載人太空船中心擔任程式設計師的亞裔美國女性之一。她為阿波羅計畫的軟體開發做出了重要貢獻。她的工作對早期關鍵任務軟體所要求的精確性與可靠性，正是值得信賴的系統至今仍賴以為基的標準。
在 DeFi Security Summit 2023 上，Herman Junge 發表了 Menpo——這是 MetaMask 安全團隊正在建構的專案，旨在使用 STIX 2.1 標準化 DeFi 事件的整理方式。這項由 Junge 發起的計畫，致力於促進安全分析師與研究人員之間的跨組織協作，以豐富共享的威脅情報生態系。
延續上個月部落格的主題，Gal Weizman 完成了他的三部曲 X 系列，說明 LavaMoat 的 scuttling 與 Snow 如何強化 MetaMask 的供應鏈安全，並同樣適用於其他應用程式。Scuttling 讓應用程式的 window 物件對注入程式碼幾乎無法使用，從而封堵了瀏覽器攻擊的常見途徑。
ScorchWrap webpack 插件現已使用 @lavamoat/aa 來識別依賴套件中的套件，並在匯入時強制執行政策，但針對 webpack 模擬的內建模組（如 buffer 與 crypto）仍需進一步處理。團隊也嘗試透過 Content Security Policy 建議來支援 Snow，但發現 CSP 在 iframe srcdoc 上的表現不盡理想；後續步驟包括限制接受文字字串輸入的 DOM API，以提升安全性。LavaMoat 參與了關於 EIP-4361 中更明確的 scheme 處理方式的討論，並提出了一套來源驗證演算法，最終也合併了 Endo 中的 exitModules hook。此外，Zibi 正在 DefCon 的 AppSec Village 主持一場防禦性程式設計工作坊。
長線詐騙手法持續增加——不法分子以投資報酬為誘餌，讓受害者逐漸放下戒心。這類詐騙手法起源於中國，常帶有感情攻勢，被稱為「殺豬盤」（shāz hū pán），因為詐騙者會先「養肥」目標，再進行「宰殺」。MetaMask Security 的 Taylor Monahan 整理了一份 Dune 儀表板，用她的話說，「試圖透過直接從區塊鏈擷取的硬數據，以及受害者親口講述的故事，呈現這些詐騙的規模」，並指出「這些詐騙者讓更多人進入加密貨幣領域的速度，超過任何合法的加密貨幣組織——目的卻是為了竊取他們的錢。」
Consensys 部落格由 Joel Willmore 撰寫的文章〈假「挖礦」詐騙：換湯不換藥的老把戲〉，詳細說明 USDT 授權挖礦與流動性挖礦詐騙的運作方式、如何識別這些詐騙，以及如何透過了解並保護代幣授權來確保安全。文章中也附有 Harry Denley 製作的 Dune 儀表板，追蹤相關詐騙活動。如需更簡明的概述，MetaMask 也發布了一篇關於假挖礦憑證詐騙的支援文章。
Revoke.cash 揭露了一種新型假授權詐騙，涉及空投「gas 代幣」，誘使用戶誤以為自己有可疑授權需要撤銷。詐騙者將假代幣設計成在撤銷交易過程中鑄造大量 gas 代幣，並將其轉給攻擊者以便出售。由於錢包彈出視窗僅顯示高額手續費，而非資金離開錢包，因此這種竊盜行為極易被忽略。對此，Revoke.cash 新增了一項檢查機制，當 gas 費用過高時會停用授權撤銷功能，並建議忽略帶有極高 gas 費用的非預期交易。
根據 Socket 的報告，Lazarus Group 發動了一場精密的社會工程攻擊活動，鎖定加密貨幣與資安領域的開發者，利用遭入侵的帳號與夾帶惡意軟體的 npm 套件進行攻擊。報告詳細說明了攻擊鏈的運作方式、防禦方法，並列出已知的惡意 npm 套件清單。
Immunefi 發布了一份 Web3 最常見十大漏洞的整理報告，涵蓋開發者與審計人員在建構安全、穩健的智能合約時應留意的智能合約漏洞。
Taylor Monahan 分享了使用 Web3 錢包時保護資產安全的實用建議：使用硬體錢包、將助記詞（Secret Recovery Phrase）記錄在紙上的低科技最佳實踐，以及分散資產存放位置。
Chainalysis 發布了其年中加密犯罪更新報告，指出加密貨幣相關犯罪整體下降約 65%，但針對性勒索軟體攻擊卻呈上升趨勢。
MetaMask 2023 年 7 月加密安全報告深入探討了濫用代幣授權的殺豬盤與假挖礦詐騙、利用空投 gas 代幣的新型假授權詐騙，以及 Lazarus Group 針對加密貨幣與資安開發者散布 npm 惡意軟體的社會工程攻擊活動。瀏覽往期 MetaMask 加密安全報告，掌握更多威脅資訊、趨勢動態，以及在整個生態系中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
