每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 6 月，Consensys 收購了 Wallet Guard，以強化 MetaMask 的詐騙與資產竊取偵測能力；MetaMask 同步更新了隱私政策，提升透明度與用戶控制權；LavaMoat 也推出了全新網站。與此同時，Security Alliance 為白帽研究人員設立了法律辯護基金。在威脅方面，與北韓相關的 APT 組織持續以就業詐騙手法鎖定加密貨幣從業人員；一名用戶因簽名釣魚損失 1,100 萬美元；CoinGecko 的電子郵件服務商遭入侵，導致數萬封釣魚郵件外流；惡意 Chrome 擴充功能 Aggr 透過竊取交易所 Cookie，盜走超過 100 萬美元。完整分析如下，但首先……
Ben Barres（1954–2017）是一位美國神經生物學家，他的研究對揭示膠質細胞如何與神經系統中的神經元相互作用具有重要貢獻——證明了大腦中長期被忽視的「支持」細胞，實際上對大腦的運作與防禦機制至關重要。他也是首位公開跨性別身份並當選美國國家科學院院士的科學家，同時積極倡導科學領域的平等。他的研究提醒我們：那些在幕後默默執行保護工作的系統，往往才是最重要的。
隱私與安全密不可分，MetaMask 對用戶隱私極為重視。本月，秉持知情同意的精神，MetaMask 發布了更新後的政策，讓用戶了解我們為保護其安全所採取的措施，並賦予他們對個人資料更高的透明度與控制權。您可以閱讀我們的公告與完整聲明，並參閱我們的隱私與安全資源。
MetaMask 僅在部分服務有需要時（視您的 MetaMask 設定而定），才會暫時處理您的 IP 位址，以為 MetaMask 用戶提供最佳體驗。例如，這包括防範 DDoS 攻擊。
我們不會收集您的私鑰。
我們不會出售您的個人資訊。
我們不會收集或保留個人資訊，除非為了向您提供服務及優質用戶體驗所必要。
我們不會收集金融支付或銀行資訊。 但當您使用我們的入金或出金功能時，這些服務可能需要您向第三方提供商提交相關資訊。
我們非常興奮地歡迎優秀的 Wallet Guard 團隊正式加入 MetaMask，共同推進我們為用戶打造最安全體驗的目標。正如公告所述，此次整合「將透過交易驗證與用戶端啟發式分析，改善詐騙與資產竊取偵測能力，從而在保護隱私與自我主權的同時，為用戶提供更優越的即時防護，抵禦惡意去中心化應用程式與詐騙攻擊。」
LavaMoat 的所有內容現已整合至 lavamoat.github.io，包括一段介紹影片，說明這套開源工具組如何保護 JavaScript 專案免受供應鏈攻擊。MetaMask 的 Zbigniew Tenerowicz 也將他前一年夏天在 DEFCON 舉辦的「防禦性程式設計」工作坊帶到 Confidence 與 X33FCON 研討會，進一步推廣 LavaMoat。
MetaMask 與 Wallet Guard 的安全現況系列最新一集，邀請 Ryan Jones 與 Gal Weizman 加入 Ohm 和 Michael 的討論，話題涵蓋交易模擬、互通性、MetaMask Web，以及使用 LavaMoat 防範供應鏈攻擊，並附上在加密貨幣領域保持安全的實用建議。
美國 FBI 發布了一則公共服務公告，呼籲在家工作的求職者提高警覺。雖然公告未特別點名加密貨幣與區塊鏈職缺，但 MetaMask 的威脅情報與用戶安全團隊表示，這個社群正受到特別針對性的攻擊。請對主動上門的工作邀約保持高度懷疑，切勿點擊來自不明訊息的連結或開啟附件，若「被要求以加密貨幣向雇主付款作為工作條件」，請立即拒絕。大量此類詐騙與進階持續性威脅（APT）組織有關，這些組織往往受國家支持——正如一位招募主管 zak 直言不諱地說：「最近我們面試過的開發者，幾乎每一個都可能是北韓人。」加密貨幣相關企業在面試應徵者時也應格外謹慎，因為這已成為一種常見的攻擊手法。務必進行徹底的面試，包括核實一致的背景資料，並要求應徵者開啟鏡頭。
道德白帽駭客是我們產業的重要基石。這些研究人員在惡意行為者得以利用漏洞之前，主動發現並負責任地揭露安全漏洞。然而，正如 Security Alliance（SEAL）近期所指出的，Web2 的歷史表明，「這項重要工作有時會帶來重大法律風險及後續費用，尤其是當他們的研究與揭露不受歡迎或遭到誤解時。」因此，SEAL 與 Security Research Legal Defense Fund 合作推出了一項計畫，為使用白帽安全港協議的合格研究人員提供法律資源。
事件經過
2024 年 6 月 22 日，一名用戶簽署了多個許可釣魚簽名，導致損失價值 1,100 萬美元的代幣。事後進一步揭露，受害者是一位 MakerDAO 治理委託人。SEAL 研究員 Pcaversaccio 認為簽名釣魚是我們產業最嚴重的問題，指出用戶往往忽視警告，也不考慮簽署的後果。MetaMask 的 Taylor Monahan 揭示，自 2021 年以來，授權釣魚詐騙造成的損失總估計已超過 6 億美元。
用戶如何保護自己
用戶可透過以下三個關鍵步驟保護自己。
限制日常瀏覽所用錢包中的資產。若您簽署了惡意簽名，損失將可降至最低。
驗證簽名請求的來源網域，確認其與原始專案的網域相符。快速的做法是前往該專案的官方社群媒體或部落格頁面，確認這些頁面的網域與請求一致。
驗證請求中的代幣與地址內容。請求中往往涉及您無意發送的代幣，支出地址及/或交易地址也可能與您預期的地址不同。
這些簡單的確認步驟有助於防止資金意外損失。
事件經過
加密貨幣數據聚合平台 CoinGecko 於 2024 年 6 月 5 日發生資料外洩事件，起因是其第三方電子郵件行銷平台 GetResponse 的帳號遭到入侵。攻擊者存取了近 200 萬筆聯絡人資料，並透過另一個客戶帳號發送了 23,723 封釣魚郵件，暴露了用戶的姓名、電子郵件、IP 位址與所在地點——但 CoinGecko 的用戶帳號與密碼仍保持安全。
用戶如何保護自己 用戶應對任何聲稱可領取空投或代幣的電子郵件保持高度警覺，避免點擊連結或下載來自不明郵件的附件。加密貨幣專案有責任對其合作的第三方廠商所採用的安全控管措施保持警惕。
事件經過 Aggr 最初以交易數據聚合工具的形象行銷，是一款 Chrome 擴充功能，但事後證明其為惡意軟體。2024 年 6 月初，一名 Binance 用戶回報損失 100 萬美元，SlowMist 追蹤後將其歸因於 Aggr 外掛程式。SlowMist 發現，Aggr 竊取了交易者的 Cookie——尤其是與加密貨幣交易所相關的 Cookie——攻擊者藉此存取中心化交易所（CEX）平台，並奪取受害者的帳號控制權。
用戶如何保護自己 這次事件的教訓是：對您安裝的任何軟體（包括瀏覽器擴充功能）保持警覺，並仔細調查開發者背景——優先選擇經過驗證、信譽良好的開發者，而非毫無紀錄的匿名帳號，並在信任任何應用程式前先審查其歷史記錄。
MetaMask 2024 年 6 月加密貨幣安全報告涵蓋了 Consensys 收購 Wallet Guard、MetaMask 更新隱私政策，以及一系列威脅事件，包括 1,100 萬美元的簽名釣魚損失、CoinGecko 電子郵件服務商資料外洩，以及盜走超過 100 萬美元的惡意 Aggr Chrome 擴充功能。瀏覽MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢，以及在整個生態系統中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
