每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2022 年 9 月，Endo 專案完成了一項重大的 SES shim 重構，內部暱稱為「四重後空翻」，同時 LavaMoat 也推出了文件更新與全新的 LavaMoat-node 使用模式。此外，Consensys 的一項研究深入探討了使用者因網路釣魚而損失資金的原因。與此同時，一場冒充 CircleCI 的網路釣魚活動竊取了 GitHub 憑證，並即時轉發 TOTP 驗證碼以繞過雙重驗證；Twitter 的演算法也在 #EthereumMerge 話題標籤趨勢期間，將一個已驗證的詐騙帳號推送至顯眼位置——這是一場利用 36 個遭入侵的已驗證帳號冒充 Vitalik Buterin 與以太坊基金會的詐騙活動。完整分析如下，但首先……
Kevin Mitnick（1963–2023）證明了最有效的攻擊媒介不是程式碼，而是人類心理。他曾因入侵數十家大型企業而名列 FBI 通緝要犯，後來轉型為財富 500 大企業與各國政府信賴的資安顧問，並擔任資安意識培訓公司 KnowBe4 的首席駭客長。他將社交工程確立為一門正式學科，直接影響了業界對抗本報告所涵蓋之網路釣魚活動的防禦方式。
Consensys 發布了一項分析使用者因網路釣魚損失資金的原因與方式的研究。該研究審查了 70 份客服工單，並依照標準化問卷訪談了 7 位曾損失資金的使用者，內容涵蓋他們對私密備份助記詞與網路釣魚的認知與使用經驗。一項關鍵發現：使用者習慣以 Web2 的信任指標——認證徽章、追蹤人數、個人頭像——來評估 Web3 實體，但在交易不可逆的自託管錢包環境中，這些指標並不能反映真實的可信度。
2022 年 9 月 16 日，GitHub 安全團隊發現一場冒充 CircleCI 的網路釣魚活動，旨在竊取使用者憑證與雙重驗證碼。釣魚郵件聲稱使用者的 CircleCI 工作階段已過期，或需要接受更新的使用條款，並將使用者導向仿冒網域，包括 circle-ci[.]com 與 emails-circleci[.]com。釣魚網站會即時將 TOTP 驗證碼轉發給攻擊者與 GitHub，藉此繞過基於時間的雙重驗證。雖然 GitHub 本身未遭入侵，但此活動波及多個受害組織。此事件凸顯了基於 TOTP 的雙重驗證容易受到即時轉發攻擊——硬體安全金鑰（FIDO2/WebAuthn）仍是目前最強的防禦手段。
2022 年 9 月 14 日，在 2022 年 9 月 15 日的以太坊合併轉換前夕，#EthereumMerge 話題標籤在 Twitter 上成為趨勢，平台演算法將一個推廣詐騙帳號與合法的合併相關內容一同呈現。這場更大規模的活動涉及至少 36 個遭入侵的 Twitter 已驗證帳號，用於冒充 Vitalik Buterin 與以太坊基金會，宣傳虛假的「50,000 ETH 贈送」活動，將受害者導向要求存入 ETH 並承諾雙倍返還的釣魚網站。
Endo 專案提交了一項重大的 SES shim 評估器重構，將其拆分為多層作用域堆疊，內部稱之為「四重後空翻」。此變更解決了作用域代理可能洩漏的問題，並將全域作用域處理中的不同關注點分離至獨立層級。附帶效益：重構完成後，LavaMoat 可直接使用未經修改的 SES shim，無需再針對 shim 套用 LavaMoat 專屬的修補程式。
MetaMask 的 LavaMoat 專案對其工具鏈進行了全面的文件更新。lavamoat-node 的新功能包括一個用於從 node_modules/.bin 執行指令的便利輔助工具，以及程式化使用 API，讓開發者更容易將 LavaMoat 的供應鏈保護整合至現有的建置流程中。
MetaMask 2022 年 9 月加密貨幣安全報告涵蓋了一場透過即時 TOTP 轉發繞過 GitHub 雙重驗證的 CircleCI 冒充活動，以及 Twitter 演算法在以太坊合併趨勢事件期間推送已驗證詐騙帳號的事件。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢與在整個生態系中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
