相关快讯
更多
4小时前
BlockBeats 消息,8 月 7 日,据 Bybit 行情数据显示,Caduceus(CMP)价格在过去 24 小时内的最高涨幅超 25%,跻身当日涨幅榜榜首。 Caduceus 是专为元宇宙及数字世界打造的开放式基础设施平台,致力于为元宇宙开发者及创作者提供去中心化渲染、边缘计算、3D 技术以及 XR 扩展现实技术等服务。Caduceus 是第一个具有去中心化边缘渲染的元界协议,并且与 EVM 兼容,很有可能成为以太坊合并后,算力资源和开发者迁移的重点方向。
10小时前
BlockBeats 消息,8 月 7 日,跨链互操作性协议 Nomad 表示,其团队一直在幕后努力协调资金返还,但目前存在不少行为不良的人试图从中谋利。Nomad 呼吁用户通过以下两种方式积极举报相关诈骗行为: 1. 对于假冒者,在其推特个人主页上举报; 2. 对于精心设计的骗局,在 Nomad 合作伙伴 TRM Labs 构建的 Chainabuse 网站上进行举报。 BlockBeats 此前报道,8 月 6 日,跨链互操作性协议 Nomad 表示,目前已经收回 3570 万美元。
10小时前
BlockBeats 消息,8 月 7 日,一份法庭文件显示,Facebook 母公司 Meta Platforms 已同意推迟完成对 VR 公司 Within Unlimited 的收购。后者旗下产品包括健身应用 Supernatural。今年 7 月,美国联邦贸易委员会(FTC)提起诉讼,寻求阻止该交易,并要求旧金山联邦法院的法官下达临时限制令,阻止这次收购。在日期为 8 月 4 日的联合法庭文件中,Meta 公司同意在 2022 年底前,或在法官决定这起案件是否可以继续进行后的第一个工作日之前,不完成这笔交易。
11小时前
BlockBeats 消息,8 月 7 日,Aave 社区发起提案投票,计划将 Aave V3 上 sUSD 的供应量上限从 1000 万提升至 2000 万,目前投票赞成率为 100%(7.3 万枚 AAVE),投票截止时间为北京时间 8 月 8 日 6:41。
安全指南:如何防御MetaMask浏览器钱包漏洞?
针对MetaMask浏览器扩展钱包存在的安全漏洞的一些安全建议。
原文标题:《一文了解如何免受 MetaMask 浏览器钱包安全漏洞的影响》
原文来源:DeFi 之道


注:北京时间 6 月 16 日凌晨,ConsenSys 开发者 Dan Finlay 披露了 MetaMask 浏览器扩展钱包存在的安全漏洞,这可能导致一小部分用户的钱包资金面临被盗风险,对此问题,他给出了一些安全建议。


 

Halborn 的研究人员发现了一种情况,即在极少数情况下可以在磁盘上发现未加密的用户密钥,该问题已经在 10.11.3 版本的 MetaMask 浏览器扩展钱包以及更高版本的钱包中得到了修复。


背景


Halborn 的安全研究人员披露了一个实例,在某种情况下,可以从被攻击的计算机磁盘中提取 MetaMask 等 Web 钱包使用的助记词短语。


以下内容不会影响 MetaMask 移动端钱包用户,而只会影响一小部分 MetaMask 浏览器扩展用户以及其他浏览器/扩展钱包用户。我们已经针对这些问题实施了缓解措施,因此对于 10.11.3 版本以及更高版本的 MetaMask 浏览器扩展钱包用户来说,这些不应该是问题。注意,如果以下三个条件都适用于你,那你的钱包可能会面临风险,你应该阅读以下内容了解后续步骤:


你的硬盘未加密;你已经将助记词短语导入到设备上的 MetaMask 浏览器扩展钱包中,而该设备由你不信任的人拥有,或者你的计算机已经被黑。在导入过程中,你使用了「显示助记词短语」(Show Secret Recovery Phrase)复选框在屏幕上查看你的助记词。(如下图所示)



影响


这会影响:


1、我们测试过的所有桌面操作系统以及浏览器;

2、我们使用 Google Chrome、Chromium 和 Firefox 浏览器在 Windows、macOS 和 Linux 上进行了测试;

3、所有浏览器版本上的所有版本 MetaMask 扩展(v10.11.3 之前)钱包。

 

但这个漏洞不会影响 MetaMask 移动端钱包。


助记词短语最终会被清除,但我们目前无法保证何时清除。


该漏洞最有可能影响那些在将助记词导入 MetaMask 后不久,设备就遭到入侵或被盗的用户。


如果你符合上述的所有条件,那那些有权访问你计算机的人,就可能会拿到你的助记词短语,因此你可能需要考虑从这些账户中将资金转移出去以确保安全。我们准备了一份迁移账户资金的指南,使用任何第三方迁移工具都需要自行承担风险。


注意,可以物理访问你的计算机的人或恶意软件可能会利用此漏洞进行攻击,而如果你的设备受到恶意软件的攻击,那有些攻击是无法进行防御的(例如键盘记录器、直接内存访问和程序控制)。


如果你认为自己容易受到该攻击的影响


如果你的计算机有可能受到你不信任的人的影响,我们建议你在系统上启用「全磁盘加密」。此外,如果你的资金是由一个硬件钱包管理,那你不会受到该漏洞的影响。


受影响的用户应考虑将资金从旧钱包账户转移到新的钱包账户地址。


本文档的其余部分将提供一些额外的详细信息,以及有关如何最好地保护你的钱包安全的建议。稍后,我们将披露有关问题性质的更多细节,以便其他软件开发人员可以自己避免这些问题,但目前我们会先提醒用户,以最大程度地降低盗窃风险。


我有多安全?


如上文所述,如果你的计算机受到了威胁(无论是物理威胁还是恶意软件),你都无法确定在该计算机上运行的任何程序的安全性。


这是流行的密码管理器 1 Password 团队已经承认并讨论过的问题,1 Password 的首席安全架构师 Jeffrey Goldberg 解释过要解决该问题的困难之处,他说:

 

「这是一个众所周知的问题,之前该问题已经被公开讨论过很多次,但任何看似合理的解决方案都可能比问题本身更糟糕。」

 

如果你使用的是密码管理器,那么你可能会比不使用密码管理器的人更安全一些,但即使是用了密码管理器,也无法避免漏洞问题。


结论


最终我们了解到,我们的密码加密功能的安全性,部分会受到浏览器行为的破坏。由于浏览器本身认为物理访问攻击超出了其威胁模型,而我们当前的钱包是建立在浏览器之上的,因此事实证明,减少这种攻击面的规模需要耗费大量人力,而且可能无法完全消除这种攻击。最终,很可能只有「全磁盘加密」才能为你的计算机提供强大的物理计算机访问安全性。


一般来说,计算机/浏览器等应该在某种程度上暂时或永久地存储文本输入。然而,由于保护你的助记词短语的安全性有多么重要,因此需要注意此特定场景,以便用户可以采取相应的行动。


幸运的是,密码似乎仍然提供了一定程度的安全性。我们发现,只有在非常特定的情况下才能提取助记词短语,并且我们已经能够在 Halborn 等待披露的时间段内引入新的保护措施,并且我们计划实施更多的保护措施,以进一步降低这种风险。这意味着如果你不使用自己的钱包(或将你的计算机交给其他人),锁定钱包仍然是一个好习惯。


一些重要的事:


1、请花点时间在你的计算机上启用全盘加密。这是确保你的计算机不会被具有物理访问权限的人提取其所有内容的唯一方法。我们还建议用户使用硬件钱包作为额外的安全措施。


2、清除你的浏览器缓存数据(我们的研究表明,这在某些情况下可能对某些用户有所帮助)


3、请记住,确保计算机安全是你的责任,如果运行它的系统受到威胁,任何钱包或软件都无法保证自身的安全,花点时间学习如何让计算机避免恶意软件。

 

以下是一些确保不同操作系统安全的指南:

Windows

Mac

iOS

Linux

 

最后,我们要感谢 Halborn 的团队负责任地披露这一点,并感谢他们为保护这个行业所做的所有辛勤工作,我们为 Halborn 的发现授予了 5 万美元的奖金。


原文链接


律动 BlockBeats 提醒,根据银保监会等五部门于 2018 年 8 月发布《关于防范以「虚拟货币」「区块链」名义进行非法集资的风险提示》的文件,请广大公众理性看待区块链,不要盲目相信天花乱坠的承诺,树立正确的货币观念和投资理念,切实提高风险意识;对发现的违法犯罪线索,可积极向有关部门举报反映。
科普教程
栏目
学习,从这里开始