:format(webp)/cloudfront-us-east-1.images.arcpublishing.com/coindesk/I3MAQ7DKDFCMFBAVM2NYZCXMKQ.jpg)
Há relatos de que houve um bug desagradável em torno dos detentores de Cripto OG, afetando notavelmente uma das partes mais críticas da infraestrutura Web3: a carteira MetaMask. Mais de 5.000 Ether ( ETH ) no valor de cerca de US$ 10,5 milhões foram roubados de veteranos da Cripto usando uma variedade de carteiras sem custódia desde dezembro, informou o site de notícias criptocético Protos , citando uma investigação informal feita pelo fundador do MyCrypto, Taylor Monahan .
Parece que os desenvolvedores da ConsenSys , a empresa privada de software blockchain que construiu grande parte das ferramentas de código aberto da Ethereum, incluindo a carteira MetaMask e o kit de ferramentas de aplicação Infura, estão investigando a exploração, que parece estar “deliberadamente” visando pessoas que deveriam conhecer o ins e saídas de autocustódia e segurança Cripto .
Este artigo foi extraído de The Node, o resumo diário da CoinDesk das histórias mais importantes em notícias sobre blockchain e Cripto . Você pode se inscrever para receber o boletim informativo completo aqui .
“Este NÃO é um site de phishing simples ou um golpista aleatório. NÃO rekt um único novato. APENAS rekts OGs”, escreveu Monahan, que atende por “Tay” no Twitter. O ataque é generalizado, afetando chaves criadas entre 2014 e 2022 e pelo menos 11 blockchains, de acordo com a investigação preliminar de Tay. A investigação on-chain de Monahan descobriu que a vulnerabilidade inexplicável pode afetar “todas as carteiras”, incluindo, mas não se limitando, à MetaMask.
Menciono esta exploração para não espalhar medo, incerteza e dúvida – especialmente sobre o portal Web3 mais utilizado . A partir de agora, parece que os usuários médios ou ocasionais do MetaMask, ou usuários de Cripto em geral, T estão sendo alvo. Mas é um momento para lembrar algumas práticas recomendadas de carteira e fazer um balanço de seus ativos. Devido à natureza abrangente do ataque e ao pedigree das vítimas, as consequências podem ser graves.
O mais importante agora não é apenas fazer com que os usuários diários de Cripto se sintam seguros e protegidos, mas garantir que realmente estejam. Por e-mail, um representante da ConsenSys confirmou que o ataque parece ter como alvo os primeiros adotantes da ETH ou pessoas que trabalham na indústria – ou pelo menos são ativas o suficiente para serem chamadas de “Cripto nativas”. Além disso, o representante enfatizou que o ataque vai muito além do MetaMask e que o “comportamento na cadeia do hacker sugere fortemente um comprometimento da chave privada”.
“O que as investigações atuais estão mostrando é que parece que esse vetor de ataque específico está apontando para o comprometimento das frases Secret de recuperação desses usuários em algum momento, provavelmente devido ao armazenamento involuntariamente inseguro dessa frase”, disse a equipe de segurança da MetaMask.
O(s) atacante(s) desconhecido(s)
Conforme mencionado, muito sobre o ataque e o(s) invasor(es) ainda é desconhecido. Não está claro se este é um esforço coordenado de vários hackers qualificados ou de um ator solitário, ou se vários indivíduos encontraram e estão explorando as mesmas vulnerabilidades. Dito isto, o facto de a maioria dos ataques ter ocorrido entre as 10h00 e as 13h00 UTC, de acordo com Monahan, sugere que pode ser uma única entidade que recebeu informações altamente comprometedoras.
Em seu artigo, Monahan disse que o perpetrador pode ter recebido um cache de dados que o está ajudando a obter acesso às chaves privadas ou frases de recuperação de carteira dos usuários. Ela acrescentou enfaticamente que o problema não está relacionado à criptografia subjacente do MetaMask e não é um golpe de engenharia social, como acontece com o phishing.
No entanto, existem alguns pontos em comum com a exploração: a maioria dos ataques ocorreu no fim de semana, e o explorador trocou os ativos da carteira da vítima por Ether (muitas vezes ignorando posições apostadas , tokens não fungíveis e moedas menos conhecidas), consolidando esse ETH e depois transferi-lo para fora. Freqüentemente, o invasor volta horas, dias ou semanas após o ataque inicial para varrer os fundos restantes, disse Monahan.
O “movimento de roubo e pós-roubo na rede é MUITO distinto”, disse Monahan, na esperança de abrir as portas para a identificação do invasor e a recuperação de ativos. Ela acrescentou que várias tentativas de “recuperação” foram bem-sucedidas até agora.
A ConsenSys confirmou o ataque por e-mail e disse que incentiva as pessoas a entrar em contato com sua equipe de suporte “sobre qualquer caso específico”. A empresa adquiriu a startup MyCrypto da Monahan em fevereiro de 2022, tendo implementado a “lista de bloqueio de golpes” do MyCrypto (também conhecida como CryptoScamDB), que foi usada para proteger os usuários do MetaMask de visitar URLs de golpes conhecidos em 2017, de acordo com um anúncio da época.
Tanto a Monahan como a ConsenSys também sublinham a importância da colaboração mútua neste momento e da partilha de informações e recursos . Infelizmente, a comunidade Cripto tem o péssimo hábito de culpar as vítimas pelas pessoas que foram hackeadas. "Pare de envergonhar as pessoas. Eles T são estúpidos", escreveu Monahan, observando como, se você fosse hackeado, compartilhar detalhes publicamente pode ajudar a mente distribuída da Web3 a encontrar uma solução.
“Web3 pertence a todos e todos devemos tentar KEEP uns aos outros seguros”, disse o REP da ConsenSys.
Melhores Práticas
Quanto às melhores práticas, Monahan escreveu em letras maiúsculas: “POR FAVOR, T KEEP TODOS OS SEUS ATIVOS EM UMA ÚNICA CHAVE OU FRASE Secret DURANTE ANOS”. Se isso for útil apenas em retrospecto, ela também alerta os usuários a dividirem seus ativos, usarem uma carteira de hardware e migrarem seus fundos de contas conectadas à Internet. Além disso, o MetaMask compartilhou esta lista com marcadores:
- Nunca armazene sua chave privada ou frase Secret de recuperação em qualquer lugar online, sempre anote-a em algum lugar e KEEP -a segura
- Obtenha e use uma carteira de hardware, mas assim como com MetaMask, T armazene sua chave privada ou frase Secret de recuperação em qualquer lugar online (ou realisticamente, em qualquer dispositivo habilitado para Internet)
- Se você chegar ao ponto em que sua carteira é tão antiga que você T consegue se lembrar se foi 100% diligente com suas chaves o tempo todo, considere criar uma nova carteira (o que significa uma nova frase Secret de recuperação, não uma nova conta) e migrando seus fundos para lá
- Realize verificações e auditorias de segurança regulares para garantir que você esteja atualizado com as melhores práticas de segurança e, como [Monahan] mencionou, considere dividir seus ativos em várias frases de recuperação e usar carteiras de hardware
À medida que a natureza da exploração for revelada, é provável que esta história fique cada vez maior. Aparentemente, muitos usuários antigos de Cripto foram afetados durante meses sem que muitas palavras fossem filtradas para o mundo todo. Enquanto a Cripto continuar a ter valor, os usuários de carteiras continuarão a enfrentar tais ameaças. Um recorde de US$ 3,8 bilhões em Cripto foi roubado no ano passado por meio de golpes, hacks e roubos, de acordo com a última contabilidade da Chainalysis .
A CoinDesk publicou recentemente uma lista de “Projetos a serem observados”, ou seja, protocolos e empresas que nos sentimos relativamente bem em recomendar aos usuários. Escrevi sobre a cada vez mais popular carteira Rainbow , que está se espalhando principalmente de boca em boca, em parte por causa de sua interface fácil e recursos de segurança integrados.
Rainbow, como muitas carteiras Cripto , lançou uma série de recursos de segurança para ajudar a proteger as carteiras, incluindo mensagens pop-up que alertam os usuários sobre endereços suspeitos com os quais eles podem estar interagindo, bem como ferramentas de ID para evitar que as pessoas enviem ativos para endereços incorretos ou endereços mortos. Recursos básicos de segurança como esse deveriam ser a norma em Cripto (para ser claro, MetaMask está entre as carteiras com proteções semelhantes).
Mas também parece que os usuários de Cripto e atores mal-intencionados estarão constantemente jogando um jogo de gato e rato. Com cada avanço tecnológico lançado para proteger os desinformados, é provável que haja uma solução alternativa. E se Monahan estiver correto, mesmo anos de experiência prática não garantem que você estará seguro. Existem práticas recomendadas a serem Siga e armadilhas a serem evitadas – mas, neste ponto, os golpes são claramente endêmicos nas Cripto.
Onde isso deixa a Web3? Não é como se os bancos ou aplicativos fintech estivessem imunes a hacks ou golpistas – mas os usuários deveriam poder confiar até mesmo em tecnologias “sem confiança”.
ATUALIZAÇÃO (18 de abril de 2023 – 23h30 UTC): Adiciona comentários do ConsenSys e uma frase enfatizando que todas as carteiras, não apenas a MetaMask, são vulneráveis.
