每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 7 月，MetaMask 的 HackerOne 漏洞獎勵計畫獲得 HackerOne 創辦人的高度讚揚，同時 Security Lab 的 Zbigniew Tenerowicz 與 Gal Weizman 將 LavaMoat、LavaDome 及 DOM 隔離技術帶到了 x33fcon、BlueHatIL 和 OWASP 等研討會。此外，MetaMask 的 Realms Initialization Control 提案正式進入孵化階段。在威脅方面，WazirX 因多簽漏洞損失逾 2.3 億美元，Squarespace 的安全漏洞導致業界多個網域遭到劫持，Ethereum.org 郵件清單外洩事件使 35,000 名用戶暴露於資產清空攻擊的風險中，FBI 也對日益猖獗的加密貨幣求職詐騙發出警告。完整分析如下，但首先……
César Milstein（1927–2002）是一位阿根廷生物化學家，因開發出生產單株抗體的技術，與他人共同榮獲 1984 年諾貝爾生理學或醫學獎。抗體是免疫系統的精準工具——專門識別並中和特定威脅——而 Milstein 的研究使大規模穩定生產抗體成為可能。這種針對性、可重複的威脅偵測理念，正是現代安全工具所追求的目標。
MetaMask 的漏洞獎勵計畫獲得 HackerOne 兩位創辦人 Jobert Abma 與 Michiel Prins 的公開表揚，肯定其迅速採納新政策改進措施——「開放範圍（Open Scope）」根據影響程度對 MetaMask 所有資產的回報進行獎勵，「快速付款（Fast Payment）」則承諾在收到報告後一個月內完成付款。在過去 90 天內，該計畫共收到 120 份報告，從提交到獎金發放平均僅需 3 天 15 小時，累計已支付 266,000 美元。MetaMask 感謝其研究人員社群的貢獻——包括 pkkr、imnarendrabhati、p1security、Nicocha30、T41nk、René Kroka、renniepak、hackerOnTwoWheels 和 redyetihacks——並歡迎任何發現漏洞的人透過 HackerOne 計畫提交報告。
MetaMask Security Lab 的 Zbigniew Tenerowicz 再度出擊！2024 年 6 月，ZB 出席了 x33fcon——一個「紅藍相遇」的資安專業人士聚會——發表了一場閃電演講，並主持了一場防禦性程式設計工作坊。這是他持續推廣供應鏈安全——LavaMoat 核心關注焦點——的最新行動。他的演講與一段訪談現已公開。
同樣來自 MetaMask Security Lab 的 Gal Weizman，在微軟的 BlueHatIL 及 OWASP 里斯本全球應用安全大會上，就 DOM 隔離與 LavaDome 專案發表演講，探討保護中心化與去中心化架構之間的差異如何推動網頁應用安全的邊界。此外，他報告指出，MetaMask 提交的 Realms Initialization Control 提案已獲 Web Incubator Community Group 批准進入孵化階段。實施此提案最終應能為 Snow 專案最初致力解決的「同源問題（same origin concern）」提供原生的瀏覽器層級解決方案——這是解決複雜客戶端網頁安全問題的重要一步。
MetaMask Security 的 Taylor Monahan 深入研究了一個名為 TraderTraitor 的新行動，該行動來自與北韓有關聯的進階持續性威脅（APT）組織 Lazarus 的成員。TraderTraitor 利用魚叉式網路釣魚攻擊，針對加密貨幣公司員工，竊取數百萬美元資產。Monahan 警告，任何在加密貨幣行業工作的人，無論層級高低，都應視自己為潛在目標。她的建議包括：消除單點故障、使用硬體錢包與硬體 MFA、不要執行或建構來自陌生人的程式碼、使用不同裝置分別處理通訊與加密貨幣存取、從他人的錯誤中學習、教育身邊的人，並保持懷疑態度。
諷刺的是，惡名昭彰的 Pink Drainer 詐騙集團成為地址投毒詐騙的受害者，因被誘騙將資金發送至一個與合法地址極為相似的假地址，損失約 30,000 美元的以太幣。加密貨幣合規公司 MistTrack 報導了此事件，並指出詐騙者反被詐騙的諷刺意味。Pink Drainer 才剛於 2024 年 5 月宣布退出，此前已從加密貨幣錢包竊取了數百萬美元。
2024 年 7 月 2 日，Ethereum 報告其郵件清單遭到入侵，逾 35,000 名用戶面臨網路釣魚攻擊的威脅。攻擊者發送電子郵件，偽裝成與 Lido DAO 的合作，引導收件人前往一個承諾質押以太幣可獲高額回報的網站，但該網站實為資產清空工具。Ethereum 安全團隊迅速封鎖攻擊、警示社群，並將惡意連結提交至封鎖清單；未有任何損失報告，Ethereum 也開始遷移電子郵件服務以強化安全性。
事件經過 研究人員發現，Squarespace 網域註冊流程中薄弱的預設安全設定，使攻擊者得以劫持網域。驗證機制不足，加上可在未經適當身份驗證的情況下變更網域設定，讓攻擊者得以取得控制權、重新導向流量，並可能竊取敏感資訊。Squarespace 在其事件事後分析報告中，將原因歸咎於 OAuth 相關漏洞，表示已修復問題，並報告無其他入侵事件。在業界協調一致的應對行動後，samczsun——與 MetaMask Security 的 Taylor Monahan、AndrewMohawk 及其他人——共同發布了一份事後回顧報告。
用戶如何保護自己 用戶應強化其 Squarespace 帳戶安全，啟用雙重驗證（2FA）並移除不必要的協作者，同時考慮選擇支援硬體金鑰 2FA 的網域註冊商。
印度加密貨幣交易所及交易平台 WazirX 的一個多重簽名（multisig）錢包遭受網路攻擊，損失逾 2.3 億美元。該錢包透過 Liminal 的數位資產託管服務管理，需要多位簽署人——三位來自 WazirX，一位來自 Liminal——但攻擊者利用 Liminal 介面顯示內容與交易實際內容之間的差異發動攻擊，可能透過替換有效載荷將控制權轉移給攻擊者。此事件再次提醒，託管解決方案掌控資金的提領權，而只有用戶本人才能透過自託管錢包控制自己的資金。WazirX 正在推出一項最高 2,300 萬美元的賞金計畫，協助識別、追蹤並追回被盜資金。
2024 年 6 月，美國聯邦調查局（FBI）發布公共服務警告，提醒民眾注意加密貨幣求職詐騙——詐騙者偽裝成合法雇主，以虛假工作機會誘騙受害者。本月，該機構進一步深入分析這類求職詐騙的運作方式及應注意的警示訊號。這類詐騙通常涉及說服受害者開設加密貨幣帳戶或轉移資金，最終竊取其金錢。FBI 建議求職者對主動提供的工作機會保持警惕、核實雇主的合法性，並避免向未經驗證的來源提供個人或財務資訊。此類詐騙的受害者應向 FBI 網路犯罪投訴中心（IC3）舉報。除了針對求職者的詐騙外，企業也應警惕面試過程中的攻擊及內部威脅——此風險已因北韓特工試圖偽裝成遠端 IT 工作者及針對 Mac 的虛假求職面試惡意軟體等報導而更加凸顯。
MetaMask 2024 年 7 月加密貨幣安全報告涵蓋了 HackerOne 漏洞獎勵計畫所獲得的肯定、WazirX 多簽漏洞導致逾 2.3 億美元損失的事件，以及一系列威脅——包括 Squarespace 網域劫持漏洞、Ethereum.org 郵件清單外洩事件，以及日益猖獗的加密貨幣求職詐騙。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在整個生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
