加密貨幣安全報告：2022年10月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2022 年 10 月，Endo 專案發布了 SES v0.17.0，帶來了期待已久的「四重後空翻」評估器重構，讓 LavaMoat 得以捨棄自訂的 SES 補丁；與此同時，LavaMoat 本身也新增了全域清除（global scuttling）功能與程式化 API。在威脅方面，Socket.dev 揭露了 npm bin 腳本混淆攻擊——一種透過套件的 bin 欄位劫持合法 CLI 指令的供應鏈技術——而 @lavamoat/allow-scripts 早已具備緩解此類攻擊的能力。MetaMask 也在波哥大舉辦的 Devcon VI 上發表了兩場安全主題演講，並發布了 Gal Weizman 對 JavaScript realms 的深度剖析文章，同時吸引超過 4,000 名參與者加入社群安全基礎知識線上講座。完整內容如下，但首先……

精選 STEM 先驅：Frances Allen，編譯器最佳化的開創者

Frances Allen（1932–2020）是美國電腦科學家，開創了編譯器最佳化領域——即自動轉換程式碼使其執行更快、更有效率的科學——並在 IBM 任職數十年間，對程式分析與平行運算做出了奠基性的貢獻。2006 年，她成為首位獲得 ACM 圖靈獎的女性。Allen 所開創的程式編譯與執行深度分析，正是 SES 和 LavaMoat 等工具用來推理、隔離及限制不受信任程式碼的相同基礎。

SES v0.17.0 為 Endo 帶來「四重後空翻」評估器重構

Endo 專案發布了 SES v0.17.0，其中包含將 SES shim 評估器重構為多層作用域堆疊的「四重後空翻」重構。此次重構修復了作用域代理可能洩漏的問題，並將全域作用域處理中的不同關注點分離至獨立層級。一項關鍵的下游效益是：LavaMoat 現在可以直接使用未經修改的 SES shim，無需再維護自己的補丁。與此同時，將 LavaMoat 風格的策略引入 Endo compartment mapper 的工作也持續推進，目前的概念驗證支援對每個套件的全域變數和內建功能進行細粒度控制，包括對內建 API 的程式化弱化（attenuation）。

Socket.dev 揭露 npm bin 腳本混淆作為供應鏈攻擊向量

安全研究公司 Socket.dev 發布了一份揭露報告，說明 npm bin 腳本混淆攻擊——一種惡意 npm 套件利用其 bin 欄位遮蔽或劫持合法 CLI 指令（包括 node 本身）的技術，在與受信任套件一同安裝時即可發動攻擊。此攻擊比典型的供應鏈入侵更難被偵測，因為它利用的是 npm 套件連結中的設計行為，而非將惡意程式碼注入現有模組。GitHub 的立場是，此行為屬於設計上的預期運作。LavaMoat 的 @lavamoat/allow-scripts 早已具備緩解此類攻擊的能力，透過控制哪些套件被允許執行安裝腳本來達到防護效果。

LavaMoat 推出全域清除功能與程式化 API

LavaMoat 在 2022 年 10 月推出了 3 項重要更新。全域清除（global scuttling）功能會擷取基於策略的賦權所需的全域參照，然後從全域作用域中移除原始參照，防止套件意外傳遞對強大 API 的間接參照。全新的程式化 API（require('lavamoat')）讓開發者能夠將 LavaMoat 直接整合至 Node.js 應用程式和腳本中，而不僅限於作為 CLI 工具使用。@lavamoat/allow-scripts 的最新版本也新增了對 Yarn 3 專案的開箱即用設定支援。

MetaMask 在波哥大 Devcon VI 發表兩場安全主題演講

MetaMask 於 2022 年 10 月在哥倫比亞波哥大舉辦的 Devcon VI 上發表了 2 場以安全為主題的演講。Antonela Debiasi 在主舞台發表了「Web3 中的可用安全性」，探討在自託管錢包設計中平衡安全性與易用性以促進更廣泛採用的挑戰。Kumavis（MetaMask 共同創辦人暨安全研究負責人）發表了「攻擊者在內部：JavaScript 供應鏈安全與 LavaMoat」，介紹 LavaMoat 如何在加密貨幣生態系中防禦 JavaScript 供應鏈攻擊。

Gal Weizman 發布 JavaScript realms 與瀏覽器安全深度剖析

LavaMoat 貢獻者 Gal Weizman 發表了「JavaScript 中的 realm 是什麼？」，這是一篇關於 JavaScript 程式執行環境的技術深度剖析文章。文章解釋了攻擊者如何利用 iframe 建立的 realms 存取未被篡改的原生 API，從而繞過套用於頂層視窗的安全策略——而這正是 LavaMoat 的 Snow 工具所要封堵的攻擊面。

MetaMask 社群安全基礎知識講座吸引超過 4,000 名參與者

MetaMask 社群團隊舉辦了一場安全基礎知識線上講座，涵蓋自託管錢包用戶的基礎安全實踐。超過 4,000 名參與者加入了直播，內容涵蓋秘密恢復短語安全、網路釣魚識別及交易驗證等主題。

MetaMask 2022 年 10 月加密貨幣安全報告涵蓋了 SES v0.17.0 的發布（帶來「四重後空翻」評估器重構）、Socket.dev 揭露 npm bin 腳本混淆作為利用 npm 套件連結設計的供應鏈攻擊向量，以及 LavaMoat 推出全域清除功能以防止對強大 API 的間接參照洩漏。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在生態系中保持安全的建議。