Kripto Güvenlik Raporu: Ağustos 2023

Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.

Ağustos 2023'te MetaMask, Paradigm, Yearn ve Polygon'dan güvenlik uzmanları, kripto acil durumları için deneysel bir Telegram hattı olan Seal 911'i hayata geçirirken MetaMask, Defcon ve Ethereum Argentina etkinliklerinde sahne aldı; Gal Weizman ise Snow için daha kararlı, güvenlik odaklı bir yön belirledi. Perde arkasında LavaMoat, sürümlerini otomatikleştirdi; ScorchWrap eklentisini ve mobil için SES lockdown'ı geliştirdi. Bunların yanı sıra, gerçek dünyada yaşanan bir başka tedarik zinciri saldırısını raporladık: Özel anahtarları çalan, typosquatted bir Ethereum npm paketi; LavaMoat'ın tam olarak azaltmak için tasarlandığı türden bir tehdit. Ayrıntılı analiz aşağıda, ancak önce...

Öne Çıkan STEM Öncüsü: Baudot kodunun mucidi Émile Baudot

Émile Baudot (1845–1903), Baudot kodunu icat eden Fransız bir telgraf mühendisiydi. Sabit uzunluklu erken bir karakter kodlaması olan bu kod, dijital iletişimin ilk pratik araçlarından biri ve ASCII'nin öncüsüydü. "Baud" birimi onun adından gelmektedir. Bilginin nasıl kodlandığını ve iletildiğini standartlaştırmaya yönelik çalışmaları, ekosisteminın bugün güvendiği güvenli ve güvenilir veri alışverişinin temelini oluşturmaktadır.

Güvenlik uzmanları kripto acil durumları için Seal 911 Telegram hattını başlattı

MetaMask'tan güvenlik uzmanları, Paradigm, Yearn ve Polygon'dan meslektaşlarıyla bir araya gelerek kripto acil durumu yaşayan kullanıcılar için deneysel bir Telegram bot hattı oluşturdu. MetaMask'tan Taylor Monahan ve Harry Denley de Seal 911 adı verilen bu projeye katkıda bulundu. samczsun'un 8 Ağustos 2023'te açıkladığı üzere grup, sorumlu ifşanın en zorlu kısmını çözmeye girişti: Doğru kişiyi bulmak. Ortaya çıkan sonuç, herkesin acil bir durumda güvenlik topluluğunun güvenilir üyelerine ve onların geniş iletişim ağına ulaşmak için kullanabileceği bir Seal 911 botu oldu.

Gal Weizman: Snow, benimsenmeden ve işlevsellikten önce güvenliği ön plana alıyor

LavaMoat'ın Snow'una ilişkin son güncellemede MetaMask'tan Gal Weizman daha kararlı bir yön işaret etti: "Bugün Snow'un hayatında büyük bir gün; projenin savunmacı güvenliği kovalamaktan vazgeçmesi için benimseme ve işlevsel davranış pahasına da olsa bazı cesur adımlar atması gerektiğinin olgun farkındalığına vardığımız gün." Başka bir deyişle Snow, kolaylık veya uyumluluğu azaltsa bile daha güçlü güvenlik garantilerini önceliklendirecek.

Zbigniew Tenerowicz ve Kumavis, Defcon'ın AppSec Village etkinliğinde Defensive Coding atölyesi düzenledi

Las Vegas'ta düzenlenen Defcon'ın Ağustos 2023 AppSec Village etkinliğinde MetaMask'tan Zbigniew Tenerowicz (ZB) ve Kumavis, sertleştirilmiş JavaScript ve yazılım tedarik zinciri riski üzerine bir Defensive Coding atölyesi düzenledi. Etkinliğin kaydı bulunmamakla birlikte ders materyalleri ve slaytlar erişime açık.

Antonela Debiasi, Ethereum Argentina'da teknoloji aracılarına duyulan güveni sorguladı

Güvenli tasarım uzmanı Antonela Debiasi, Ethereum Argentina'nın ana sahnesine çıkarak kripto para ağlarındaki güven modelini inceledi ve güven göstergeleri ile kurumsal güvenlik göstergeleri arasındaki farkı ortaya koydu.

LavaMoat ve Endo, sürüm otomasyonunu, ScorchWrap'i ve mobil için SES lockdown'ı geliştiriyor

LavaMoat monorepo'su, sürüm yönetimi için npm workspaces ve release-please'e geçiyor; bu sayede LavaMoat sürümleri otomatik hale gelecek ve çok daha hızlı yayımlanacak. ScorchWrap webpack eklentisi artık birden fazla giriş noktasını ve chunk'ı destekliyor; modül gereksinimleri üzerinde politika uygulaması hayata geçirildi. İlk beta için kalan çalışma ise global'lar üzerinde politika uygulamasıdır. Bu arada, SES lockdown iki aşamaya bölünüyor: "Vetted Shims"in onarımdan sonra ancak dondurulmadan önce intrinsic'lere uygulanabilmesi için; bu değişiklik uyumluluğu artırmalı ve MetaMask Mobile'ı lockdown ile çalıştırmanın önündeki son engellerden birini ortadan kaldırmalıdır. Mobilde SES, Settings ekranının etrafına sarılmış üst düzey bir bileşen olarak kullanılan @consensys/on-ramp-sdk'nın doğrudan bir bağımlılığı olduğundan reflect-metadata'yı güvenilir bir shim olarak izin vererek paket öncesi kilitlemeye devam etmektedir.

Typosquatted Ethereum npm paketi özel anahtarları çalıyor; LavaMoat'ın hedef aldığı saldırı türü

Phylum, Ağustos 2023'ün başında şüpheli npm yayınlarına ilişkin bir dizi uyarı aldığını bildirdi. Bu yayınlar arasında popüler bir kripto para kütüphanesinin typosquat'ı ve kötü amaçlı kodu çoğu geliştiricinin hiç incelemeyeceği büyük bir dosyanın derinliklerine gömen bir bağımlılık yer alıyordu. Paket, özel anahtarları uzak bir sunucuya sızdırdı; bu, tam olarak LavaMoat'ın azaltmak için tasarlandığı türden bir yazılım tedarik zinciri saldırısıdır.

MetaMask'ın Ağustos 2023 Kripto Güvenlik Raporu; kripto acil durumları için kurumlar arası bir Telegram hattı olan Seal 911'in lansmanını, Snow için cesur yeni güvenlik odaklı yönü ve özel anahtarları çalan typosquatted bir Ethereum npm paketini ele aldı. Ekosistem genelinde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.