每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2023 年 3 月，Endo 與 LavaMoat 團隊重新調整了安全打包的方式——暫停了 webpack-transform 實驗，改採 webpack loader——同時將全域 scuttling 擴展至子 realm，並恢復了 MetaMask 行動應用程式的 React Native 支援。MetaMask 也分享了兩場 EthDenver 季的演講：共同創辦人 Dan Finlay 主講 Delegatable，以及安全研究員 Gal Weizman 主講 JavaScript realms 與 Snow。不過，本月最重要的教訓是對空投保持警惕：詐騙事件在 Arbitrum 領取活動期間急遽增加，約 2,400 個錢包事先遭到入侵，詐騙者利用假冒的 MetaMask 空投快照誘導用戶前往釣魚網站，仿冒詐騙也針對 Polkadot、Shiba Inu 以及假冒的 OpenAI 代幣發動攻擊。完整分析如下，但首先……
Faith Lillibridge 攝於 1954 年，照片中她站在哥倫比亞大學 Watson 科學計算實驗室五樓的 NORC（海軍軍械研究計算機）控制台前。NORC 由 IBM 為美國海軍建造，在 1954 年啟用時是全球最強大的電腦。操作這類早期機器的工作人員，將佔據整個房間的硬體轉化為可靠、可重複的運算——這種嚴謹、精確的工作態度，至今仍是值得信賴系統的基石。
Endo 嘗試在不破壞原始 import/export 語句的前提下接入 webpack transforms，但這些嘗試均告失敗，除非將 webpack 解構並作為建構打包工具的框架使用。Endo 決定暫停該方向，轉而尋求更簡單的解決方案，改在 LavaMoat 開源工具包中實驗新方法。另外，最新的 Endo compartment-mapper 更新新增了 exitModuleImportHook，允許動態匯入 exit 模組，而無需預先建立清單——這是 compartment-mapper 作為 lavamoat-node 後端所需的最後一項重要功能。Endo SES 白名單也針對 React Native Android JSC 進行了小幅更新，詳見 endojs/endo #1511，解決了長期存在的 issue #660（近期追蹤於 LavaMoat/docs #16），並在 React Native JSC build scripts issue #181 中進一步研究。
LavaMoat 開始探索一種使用 webpack loader 實現隔離化的安全打包替代方案，並在之後加入執行環境。由於 loader 上層的結構保持不變，大多數功能（如 tree-shaking）仍可正常運作；主要風險在於自訂插件可能以不可預見的方式修改程式碼。scuttling 安全功能現在可透過將實驗性的「scuttleGlobalThis」選項與 Snow 搭配設定，應用於所有潛在的同源子 realm（例如 iframe）（進度請見此處）。LavaMoat Browserify 範例的小幅更新已合併至 LavaMoat/LavaMoat #476。
React Native 支援已重新啟動，從 Endo SES lockdown 整合開始——最初目標為 RN v0.66.5，現已更新至 RN v0.71.4——MetaMask 行動應用程式的整合工作正在進行中。進度追蹤於 LavaMoat React Native epic。
Dan Finlay 於 2023 年首次亮相 EthDenver，發表了一場關於 Delegatable 的演講，分享了委託機制如何讓去中心化應用程式的開發更安全、更便捷的願景。他表示：「有很多人在領取空投後，所有資金都被盜走……Delegatable 讓你可以將合約上能做的任何事情授權給另一個帳戶。它有一套開放式的限制系統，讓你可以以任何方式縮限所分享的權限。這樣一來，你可以透過限制熱錢包的操作範圍，讓它保持相對安全，同時仍允許它在鏈上執行操作。」
Gal Weizman 發表了一場關於供應鏈攻擊日益增長的危險性的演講，探討依賴套件所帶來的風險，以及 Snow JS 如何協助填補這些漏洞。演講主題涵蓋網路的演進、安全性與可見性的重要性、第三方解決方案、JavaScript realms 以及 Snow JS。
2023 年 3 月，圍繞空投的可疑活動急遽增加。上個月，MetaMask 發布了一篇關於 rug pull 與空投詐騙危險性的概述，提醒用戶「免費獲利」的誘惑是惡意行為者常用的手段。這一幕隨即上演：詐騙者在社群媒體上散布假消息，聲稱 MetaMask 將於 3 月 31 日進行快照或空投——這是一個誘導用戶前往釣魚網站的陷阱，任何試圖領取這些根本不存在的代幣的人都可能遭到盜竊。MetaMask 於 2023 年 3 月 29 日揭露了這場詐騙並向社群發出警告，指出這則假消息「不僅是謊言，更是危險的」，因為它為詐騙者和釣魚攻擊者針對用戶資產創造了可乘之機。整個月內，仿冒 Polkadot、Shiba Inu 以及假冒 OpenAI DeFi（GPT-4）代幣的仿冒空投詐騙，都採用了相同的手法。
在 Arbitrum 空投前數天，Arkham 於 2023 年 3 月 20 日報告，一名駭客在過去 12 小時內從地址 0x59d4...fb19 向約 2,400 個疑似已遭入侵的錢包轉入資金，這些錢包隨後預先批准了 ARB 代幣以備領取。事後，CoinDesk 以「Arbitrum 揭示加密貨幣空投有多混亂（且棘手）」為題，深入報導了其中可能出現的種種問題。
MetaMask 安全研究員 Taylor Monahan（@tayvano_）於 2023 年 3 月 24 日緊急呼籲使用 Cloudflare 的 Web3 產品團隊立即採取行動：輪換所有帳戶的全域 API 金鑰，並移除任何尚未輪換全域 API 金鑰的帳戶。舊版全域 API 金鑰擁有完整的帳戶存取權限，一旦外洩後果尤為嚴重。
Trading Uncle（@thetradingunc）記錄了一起發生於 2023 年 3 月 14 日的社交工程攻擊嘗試：一個帳戶發送私訊，稱讚目標的內容，並邀請其與其他與談人一同在元宇宙「研討會」上發言——這種方式旨在降低目標的警覺性，為後續詐騙鋪路。
MetaMask 2023 年 3 月加密貨幣安全報告涵蓋了空投詐騙的激增——包括用於釣魚攻擊的假冒 MetaMask 快照——Arbitrum 空投前約 2,400 個錢包遭到入侵，以及針對 Web3 團隊的 Cloudflare 全域 API 金鑰警告。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢以及在生態系統中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
