每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2022 年 6 月，Endo 和 LavaMoat 專案發布了 import.meta、require.resolve 及 Yarn 3 支援，以強化建置流程，同時 MetaMask 的漏洞獎勵計畫也在 HackerOne 正式上線。在數據方面，電腦事件應變小組在 2022 年上半年共結案 38 張工單，平均修復時間為 40.39 天，MetaMask 也因加密安全疑慮而棄用了 eth_decrypt 和 eth_getEncryptionPublicKey API 方法。本月有兩項重大揭露：Halborn 因發現「Demonic」（CVE-2022-32969）獲得 50,000 美元獎勵，該漏洞為磁碟加密弱點，可能導致秘密恢復短語以明文形式快取於未加密的磁碟上；United Global Whitehat Security Team 則因發現擴充功能中一個嚴重的點擊劫持漏洞，獲得 120,000 美元的獎勵。完整說明如下，但首先……
Whitfield Diffie 與 Martin Hellman 及 Ralph Merkle 於 1976 年 11 月共同發表了《密碼學的新方向》，提出了 Diffie-Hellman 金鑰交換協定，使安全通訊得以在無需預先共享金鑰的情況下實現。該協定是 TLS、SSH 以及自託管錢包使用者每天所依賴的加密通道的基礎。Diffie 於 2015 年榮獲 ACM 圖靈獎，並於 2011 年入選美國國家發明家名人堂。
MetaMask 向 United Global Whitehat Security Team（UGWST）頒發了 120,000 美元的獎勵，表彰其負責任地揭露了 MetaMask 擴充功能中一個嚴重的點擊劫持漏洞。此攻擊將擴充功能介面渲染為隱形的 iframe，疊加於惡意網站之上，誘騙使用者在不知情的情況下批准交易並洩露私人資料。在修補程式發布前，未有已知的漏洞利用案例。使用 MetaMask 擴充功能 10.14.6 或更新版本的使用者均已受到保護。
Halborn 的安全研究人員揭露了 CVE-2022-32969，代號為「Demonic」，這是一個漏洞，在匯入過程中輸入的秘密恢復短語可能被瀏覽器的工作階段還原機制以明文形式快取至磁碟。此風險在三個條件同時成立時才會發生：硬碟未加密、秘密恢復短語在受感染或不受信任的裝置上匯入，以及在匯入過程中勾選了「顯示秘密恢復短語」核取方塊。MetaMask 已在擴充功能 10.11.3 及更新版本中實施了緩解措施。MetaMask Mobile 不受此漏洞影響。Halborn 因此發現獲得了 50,000 美元的獎勵。
MetaMask 電腦事件應變小組（CIRT）在 2022 年上半年共結案 38 張工單。外部回報者提交了其中大多數，超過審計和內部來源合計總數的兩倍。依負責人區分，擴充功能團隊處理的比例最高，其次是安全相關（跨產品）問題和 Mobile。在 38 張工單中，13 張具有 CVSS 評分：1 個嚴重等級——即點擊劫持獎勵漏洞——9 個中等等級，以及 3 個低等級。外部回報的工單解決速度最快，平均每個問題 28.53 天。整體平均修復時間為 40.39 天。
MetaMask 棄用了 eth_decrypt 和 eth_getEncryptionPublicKey API 方法。這兩個方法依據 EIP-1024（現已廢棄）建置，在不同的橢圓曲線上重複使用相同的私鑰進行簽署和加密，此做法會開啟額外的攻擊向量。目前沒有已知的漏洞利用案例，但此設計被認為安全性不足，不宜繼續推廣。這些方法仍保持可用，以便給予第三方整合者足夠的時間進行遷移。
Endo 專案合併了針對 Compartments 的 import.meta 支援，需要調整 static-module-record 中的 Babel 插件，以確保 import.meta 節點即使在已轉換的 export 定義內部也能被訪問和轉換。後續的 PR 為 compartment-mapper 新增 import.meta.url 支援（endojs/endo #1202），為 compartment-mapper 的 importLocation 功能帶來了 import.meta.url 支援（Archives 中不可用）。另外，require.resolve 函式已新增至 CommonJS 實作中，預設會拋出例外，但可透過 ReadPowers 接受自訂實作。這些變更完成了原定的 CJS 支援路線圖。
LavaMoat 為 allow-scripts 發布了 Yarn 3 支援，新增了一個插件以處理受保護專案全新檢出時的 yarn 設定。第二項更新在 policy-overrides.json 中引入了明確的 false 值，允許專案拒絕特定的 endowments，並防止在政策合併期間過度暴露物件欄位。
MetaMask 於 2022 年 6 月在 HackerOne 上線了其漏洞獎勵計畫，涵蓋 MetaMask Extension GitHub 儲存庫和 MetaMask Mobile GitHub 儲存庫。
MetaMask 2022 年 6 月加密安全報告涵蓋了頒發給 UGWST 的 120,000 美元點擊劫持獎勵、Halborn「Demonic」磁碟加密漏洞揭露事件（影響瀏覽器錢包），以及 MetaMask 因加密安全疑慮棄用 eth_decrypt 和 eth_getEncryptionPublicKey 一事。瀏覽往期 MetaMask 加密安全報告，了解更多威脅、趨勢及在生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
