每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2022 年 11 月，LavaMoat 將 Snow 與全域清除（global scuttling）功能正式推送至所有用戶的生產環境，包括 MetaMask Extension，同時還推出了經過四重反轉處理的 SES 版本、Node.js 網域馴化（domain taming），以及初步的 bin 混淆攻擊緩解措施。與此同時，Endo 原型開發了一款通用打包工具，威脅情報團隊也建立了一個基於 STIX 的 DeFi 事件資料庫。在社群方面，MetaMask 分享了 Kumavis 在 Devcon 上關於 JavaScript 供應鏈安全的演講，Gal Weizman 提出了將 Snow 整合至 Extension 的論點，並透過一場 Twitter Space 探討了 Snaps 如何在 FTX 崩潰後強化自我託管。本月也記錄了幾個警示案例：Google Ads 與 Google Sites 釣魚攻擊、透過偽造 Flash Player 更新散布的惡意 Chrome 擴充功能，以及 Telegram 交易機器人詐騙。完整報告如下，但首先……
Daphne Oram（1925–2003）於 1958 年共同創辦了 BBC Radiophonic Workshop，並開創了她稱之為「Oramics」的技術——直接在底片上繪製圖形以合成聲音。她將手繪圖案轉化為精確訊號的工作，預示了自我託管錢包軟體驗證資料時所依賴的訊號與模式思維。Oram 畢生致力於主張：高度技術性的工具也能讓非專業人士以富有表現力且易於上手的方式使用。
2022 年 11 月是 LavaMoat 的重要生產部署里程碑。Snow（遞迴 iframe 與 realm 安全機制）與全域清除功能（在基於政策的捕獲後移除原始全域參照）已正式推送給所有 LavaMoat 用戶，包括 MetaMask Extension。一個「四重反轉」版本的 SES 帶有多項重要更新，已被引入 LavaMoat 以備即將發布的版本使用，其中包括 Node.js 中的網域馴化——這點值得特別關注，因為部分套件仍在使用 Node 早已棄用的 domain 模組。bin 混淆攻擊緩解的初始版本已合併至 @lavamoat/allow-scripts，將在下一個版本中以旗標形式提供。此外，一個可透過幾個引導式問題在儲存庫中設定所有 LavaMoat 工具的新 CLI 也正在開發中。
Endo 專案嘗試以 Endo 驅動一款打包工具，在其 compartment mapper 之上建立了一個概念驗證的通用打包工具。這項工作觸發了 Endo 程式碼庫中一系列功能改進，包括修復了具名重新匯出（named reexports）處理方式中的一個錯誤。
MetaMask 威脅情報團隊開始著手建立一個針對去中心化金融（DeFi）領域事件的標準化資料儲存庫。這些記錄採用 STIX（結構化威脅資訊表達）語言，旨在成為一個可信的資料來源，為追蹤 DeFi 安全事件的專業人士與愛好者提供洞察。
MetaMask 的 Kumavis 在 Devcon 2022 發表了一場演講，題為《攻擊者在內部》（The Attacker is Inside），主題為 JavaScript 供應鏈安全。他說明了軟體供應鏈攻擊在 JavaScript 與加密貨幣生態系中的運作方式——在這個生態系中，每個專案都建立在共享的開源基礎之上——以及 MetaMask 的免費開源工具 LavaMoat 如何保護用戶及其錢包。
LavaMoat 貢獻者 Gal Weizman 發表了《將 Snow 整合至 MetaMask》，主張將 Snow 瀏覽器安全技術直接部署至 MetaMask 瀏覽器擴充功能。Snow 可在所有 iframe 中強制執行遞迴 realm 所有權，關閉新建立的瀏覽器 realm 被用來存取未受篡改的 API 參照、繞過頂層視窗所套用政策的攻擊面。
在 FTX 崩潰事件後，MetaMask 主辦了一場 Twitter Space，邀請 Christian Montoya（MetaMask）、Zen Yong（Web3Auth）與 Chirag Titiya（Biconomy）共同探討透過 MetaMask Snaps 實現的無需許可創新，如何幫助用戶掌控自己的資金，並更妥善地保護其助記詞。正如 Zen Yong 所說，FTX 事件「若有更多人實踐自我託管，對整個加密貨幣產業的衝擊本可更小。」Montoya 指出，目標是讓開發者能在 MetaMask 中建立新的帳戶管理選項——為新用戶提供更簡便、更安全的選擇，降低遺失金鑰或帳戶遭入侵的風險。
釣魚攻擊活動持續濫用 Google 基礎設施，鎖定加密錢包用戶。The Verge 先前記錄了釣魚者如何利用 Google Ads 詐騙用戶的加密貨幣，用戶也應留意以「sites.google.」開頭的網址。如 Mashable 所報導，詐騙者也在 Google Sites 上建立釣魚網站，複製可信網站的設計，誘騙用戶輸入敏感資訊。
BleepingComputer 報導了一款惡意 Chrome 擴充功能，可讓攻擊者遠端控制瀏覽器。該擴充功能並未上架官方 Chrome 線上應用程式商店，而是透過其他管道散布，例如推送偽造 Adobe Flash Player 更新的網站。對用戶的重要提醒：避免從非官方來源安裝瀏覽器擴充功能或「更新」。
2022 年 11 月，社群媒體上流傳著關於 Telegram 惡意活動與交易機器人的警告。Twitter 用戶 Big D 標記了一個透過 Telegram 散布的木馬程式，該程式可能透過一個容易被忽略的自動設定下載至手機；而另一份分析則探討了用戶的私鑰如何在交易機器人中遭到暴露。交易機器人的使用率正在上升，但授予其錢包存取權限可能使資金面臨風險。
MetaMask 2022 年 11 月加密安全報告涵蓋了 LavaMoat 將 Snow 與全域清除功能正式推送至 MetaMask Extension、一場探討 MetaMask Snaps 如何在 FTX 崩潰後強化自我託管的 Twitter Space，以及涉及 Google Ads 與 Google Sites 釣魚攻擊、惡意 Chrome 擴充功能和 Telegram 交易機器人詐騙的警示案例。瀏覽 MetaMask 加密安全報告的往期內容，了解更多威脅、趨勢，以及在整個生態系中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
