每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2023 年 9 月，MetaMask 推出了 Snaps 公開測試版，為錢包帶來無需許可、可自訂的安全功能。我們也分享了與 Ledger 合作製作的自我託管教育內容，並與 Wallet Guard 共同舉辦了「安全現狀」Space 活動。在工具方面，LavaMoat 加快了發布節奏、新增了 Node 20 支援，並為 ScorchWrap 的測試版做好準備。此外，MetaMask 的 Gal Weizman 與 Zbigniew Tenerowicz 在 W3C 的「Secure the Web Forward」活動上，就強化版 JavaScript 與瀏覽器 realm 進行了專題報告。在威脅方面，Taylor Monahan 將約 3,500 萬美元的盜竊案件與儲存在 LastPass 中的 Secret Recovery Phrase 相連結，我們也詳細說明了 Pink Drainer 組織如何透過 SIM 卡交換攻擊入侵 Vitalik Buterin 的帳號。完整內容如下，但首先……
Luis von Ahn 是一位瓜地馬拉裔電腦科學家，他共同發明了 CAPTCHA 與 reCAPTCHA——這些用於區分人類與機器人、保護網路服務免受自動化濫用的挑戰驗證機制——並開創了人類運算的概念。他後來共同創辦了 Duolingo。他的研究成果奠定了日常網路安全的基礎：以低成本、大規模的方式驗證另一端確實存在真實的人類。
MetaMask 於 2023 年 9 月 12 日推出 Snaps 公開測試版，根據使用者的偏好與需求，在錢包內擴展可自訂的安全選項。Snap 是由第三方開發者建構的功能與擴充套件，使用者可直接安裝至自己的錢包（metamask.com/snaps）。此公開測試版以進階使用者與早期採用者為主要對象，作為起步階段。多款以安全為核心的 Snap 已在經過審核的 Snaps 目錄中上架。官方目錄中的每款 Snap 均經過 MetaMask 團隊與外部審計人員的審查與驗證。在相關討論串中，MetaMask Snaps 的 Christian Montoya 分享了優化 MetaMask 安全性的基本技巧，並重點介紹了測試版中可協助保護使用者免受風險交易影響的 Snap。
MetaMask 與 Ledger 合作，發布了一堂 Web3 安全課程，內容涵蓋自我託管所帶來的責任、如何避免常見攻擊手法，以及使用硬體錢包的重要性。為推廣此課程，MetaMask 資深安全研究員 Miles Nolan 於 2023 年 9 月 20 日與 MetaMask 及 Ledger 的同事共同主持了一場直播 X Space。
MetaMask 與 Wallet Guard 共同舉辦了一場 X Space，探討安全現狀。Wallet Guard 的 Ohm、Martin 與 Michael，以及 Marco Menozzi（MetaMask 安全部門）和 Christian Montoya（MetaMask Snaps）共同出席，討論裝置安全、社交工程、資料外洩、SIM 卡交換、詐騙廣告與 MetaMask Snaps 等議題。Wallet Guard 也分享了錄音的文字摘要。
HackerOne 於 2023 年 9 月 27 日啟動大使世界盃準決賽，4 支隊伍為包括 MetaMask、Shopify 與 Tinder 在內的合作夥伴進行漏洞獵尋，協助這些夥伴強化產品安全並保護使用者。
過去 3 年間，已有超過 1.25 億美元透過 DNS 劫持與惡意內容注入遭到竊取。MetaMask 正採用由 Yearn 團隊開發的解決方案：一個區塊鏈 calldata 白名單，可在 DNS 劫持事件發生時，防止惡意行為者對使用者造成損害。MetaMask 的開發者關係團隊正積極聯繫對此計畫至關重要的第三方；更多細節收錄於一份公開文件中，其中附有概念驗證儲存庫的連結，以及由 Miles Nolan 主講的簡短說明影片。
發布流程的改善使版本發布變得更加輕鬆，因此更高的發布頻率已成為常態。測試結構的調整使其得以在 Node 20 上順利通過，Node 20 現已獲得官方支援。ScorchWrap 外掛程式已準備好進入測試版，並將在兩場遠端開發者活動上正式發布，測試版計畫在 LavaMoat 討論區中進行。MetaMask Mobile 的鎖定機制現已正常運作，預計即將發布。
在 W3C 的「Secure the Web Forward」活動上，Zbigniew Tenerowicz 就將強化版 JavaScript 應用於供應鏈安全以實現主動防禦進行了報告；Gal Weizman 則就 JavaScript realm 如何被用於繞過現有網路應用程式安全工具進行了報告。在一篇關於「同源問題」的相關論文中，Snow JS 專案的維護者 Weizman 描述了應用程式對於在其自身來源下產生的新 realm 缺乏控制能力的問題、現有解決方案的不足之處，以及瀏覽器原生解決方案如何提供安全且高效能的修復方式；該論文本月已向 W3C 安全工作小組提交。
一連串高價值盜竊案件，涉及約 3,500 萬美元的被盜資金，可能與 LastPass 近一年前披露的資料外洩事件有關。MetaMask 的 Taylor Monahan 自 2022 年 12 月起持續追蹤相關線索，指出受害者「確實都具備合理的安全意識」且「深度融入這個生態系」——包括知名加密貨幣機構的員工、創投資本家，以及建構 DeFi 協議、部署智能合約與運行完整節點的人士。她發現的主要共同點是：受害者曾在某個時間點使用 LastPass 儲存其 Secret Recovery Phrase。她的建議直截了當：不要將所有資產長期存放在單一金鑰或助記詞下——分散資產、購買硬體錢包，並立即進行遷移。Krebs on Security 有更多相關報導。
ERC-7512 提案旨在將智能合約審計結果呈現於鏈上。透過讓使用者與應用程式驗證由信譽良好的審計機構所進行的審計，此標準將建立審計機構的鏈上信譽系統，並有助於打造更值得信賴的智能合約使用環境。
Rekt 的「Gone Phishing」彙整了一系列詐騙事件，涵蓋遭入侵的前端介面、殺豬盤詐騙、八位數的鏈上操作失誤，以及公眾人物甚至政府機構帳號遭駭事件——其中包括針對 Vitalik Buterin 的高知名度 SIM 卡交換盜幣攻擊。關於幕後組織的更多資訊，Boring Security 在 Buterin 的帳號於 2023 年 9 月 10 日遭入侵後，記錄了 Pink Drainer 的攻擊手法。
MetaMask 2023 年 9 月加密貨幣安全報告涵蓋了 MetaMask Snaps 公開測試版的推出、Taylor Monahan 將約 3,500 萬美元盜竊案與儲存於 LastPass 的 Secret Recovery Phrase 相連結，以及 Pink Drainer SIM 卡交換攻擊入侵 Vitalik Buterin 帳號等事件。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢與在生態系中保持安全的實用建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
