Anstieg von Airdrop-Betrug durch gefälschte Giveaway-Hypes zum Phishing, ~2.400 Wallets vor dem Arbitrum-Airdrop ins Visier genommen, Cloudflare Global API-Key-Warnung für Web3-Teams und EthDenver-Vorträge zu Delegatable und JavaScript Realms.
MetaMask deaktiviert eth_sign standardmäßig, während die Monkey Drainer Phishing-Gruppe sich auflöst; ein Namecheap/SendGrid-Datenleck hinter MetaMask-Phishing-E-Mails, ein Google Fi SIM-Swap-Hack und eine gefälschte EthDenver-Website mit Phishing-Wallet.
Themen: Address-Poisoning-Angriffe mit täuschend ähnlichen Wallet-Adressen, ein Deep Dive zu Read-Only-Reentrancy als aufkommendem DeFi-Angriffsvektor, LavaMoats neues LavaTube-Tool sowie RATs in gefälschten Spiele-Downloads.
Mit AppleJeus-Malware der Lazarus Group in gefälschten Krypto-Apps, einem Social-Engineering-Betrug mit 14 Bored Apes (1,07 Mio. $), LavaMoats Bin-Confusion-Abwehr, einem Jahresrückblick zu PhishFort-Takedowns und dem MobyMask-Launch.
Mit LavaMoats Einführung von Snow und globalem Scuttling für die MetaMask Extension, dem Fall für die Snow-Integration, einem Twitter Space über Snaps und Self-Custody nach dem FTX-Kollaps sowie Google Sites- und Telegram-Trading-Bot-Betrug.
Mit einer Consensys-Studie zu Phishing-Risiken bei MetaMask-Nutzern, einer CircleCI-Impersonation-Kampagne, die GitHub-2FA umging, und Twitter-Betrugskonten, die Vitalik Buterin und die Ethereum Foundation imitierten.
Mit dem SES v0.17.0-Release, dem „Quadruple Backflip"-Evaluator-Refactor, Socket.devs Offenlegung von npm-Bin-Script-Confusion-Angriffen, LavaMoats neuer Global-Scuttling-Abwehr und zwei MetaMask-Security-Talks auf der Devcon VI in Bogota.
Merge-basierte Phishing-Kampagnen, die vertrauenswürdige Entitäten imitieren, um Nutzer zu falschen ETH 2.0-Konvertierungen zu verleiten, Analyse von Crypto-Honeypot-Betrugsmaschen, LavaMoat-Richtliniendurchsetzung und HackerOne-Bounty-Programm-Metriken.
Mit LavaMoats drei experimentellen Browser-Sicherheitstools gegen Prototype-Pollution und Cross-Realm-Angriffe, einem gefälschten $UNI-Airdrop, der über 73.000 LP-Adressen phishte, und einem YouTube-basierten MEV-Frontrunning-Bot-Betrug.
Mit der 120.000-$-Clickjacking-Prämie für UGWST, der Halborn-„Demonic"-Sicherheitslücke bei Browser-Wallets sowie der Einstellung von eth_decrypt und eth_getEncryptionPublicKey.