安全指南:如何防御MetaMask浏览器钱包漏洞?

原文标题:《一文了解如何免受 MetaMask 浏览器钱包安全漏洞的影响》

注:北京时间 6 月 16 日凌晨,ConsenSys 开发者 Dan Finlay?披露了 MetaMask 浏览器扩展钱包存在的安全漏洞,这可能导致一小部分用户的钱包资金面临被盗风险,对此问题,他给出了一些安全建议。

Halborn 的研究人员发现了一种情况,即在极少数情况下可以在磁盘上发现未加密的用户密钥,该问题已经在 10.11.3 版本的 MetaMask 浏览器扩展钱包以及更高版本的钱包中得到了修复。

Halborn 的安全研究人员披露了一个实例,在某种情况下,可以从被攻击的计算机磁盘中提取 MetaMask 等 Web 钱包使用的助记词短语。

以下内容不会影响 MetaMask 移动端钱包用户,而只会影响一小部分 MetaMask 浏览器扩展用户以及其他浏览器/扩展钱包用户。我们已经针对这些问题实施了缓解措施,因此对于 10.11.3 版本以及更高版本的 MetaMask 浏览器扩展钱包用户来说,这些不应该是问题。注意,如果以下三个条件都适用于你,那你的钱包可能会面临风险,你应该阅读以下内容了解后续步骤:

你的硬盘未加密;你已经将助记词短语导入到设备上的 MetaMask 浏览器扩展钱包中,而该设备由你不信任的人拥有,或者你的计算机已经被黑。在导入过程中,你使用了「显示助记词短语」(Show Secret Recovery Phrase)复选框在屏幕上查看你的助记词。(如下图所示)

OKB突破18美元关口 日内涨幅为69.22%:OKEx数据显示,OKB短线上涨,突破18美元关口,现报18.003美元,日内涨幅达到69.22%,行情波动较大,请做好风险控制。[2021/2/20 17:32:35]

这会影响:

1、我们测试过的所有桌面操作系统以及浏览器;

2、我们使用 Google Chrome、Chromium 和 Firefox 浏览器在 Windows、macOS 和 Linux 上进行了测试;

3、所有浏览器版本上的所有版本 MetaMask 扩展(v10.11.3 之前)钱包。

但这个漏洞不会影响 MetaMask 移动端钱包。

助记词短语最终会被清除,但我们目前无法保证何时清除。

该漏洞最有可能影响那些在将助记词导入 MetaMask 后不久,设备就遭到入侵或被盗的用户。

如果你符合上述的所有条件,那那些有权访问你计算机的人,就可能会拿到你的助记词短语,因此你可能需要考虑从这些账户中将资金转移出去以确保安全。我们准备了一份迁移账户资金的指南,使用任何第三方迁移工具都需要自行承担风险。

注意,可以物理访问你的计算机的人或恶意软件可能会利用此漏洞进行攻击,而如果你的设备受到恶意软件的攻击,那有些攻击是无法进行防御的(例如键盘记录器、直接内存访问和程序控制)。

如果你的计算机有可能受到你不信任的人的影响,我们建议你在系统上启用「全磁盘加密」。此外,如果你的资金是由一个硬件钱包管理,那你不会受到该漏洞的影响。

受影响的用户应考虑将资金从旧钱包账户转移到新的钱包账户地址。

本文档的其余部分将提供一些额外的详细信息,以及有关如何最好地保护你的钱包安全的建议。稍后,我们将披露有关问题性质的更多细节,以便其他软件开发人员可以自己避免这些问题,但目前我们会先提醒用户,以最大程度地降低盗窃风险。

如上文所述,如果你的计算机受到了威胁(无论是物理威胁还是恶意软件),你都无法确定在该计算机上运行的任何程序的安全性。

这是流行的密码管理器 1 Password 团队已经承认并讨论过的问题,1 Password 的首席安全架构师 Jeffrey Goldberg 解释过要解决该问题的困难之处,他说:

「这是一个众所周知的问题,之前该问题已经被公开讨论过很多次,但任何看似合理的解决方案都可能比问题本身更糟糕。」

如果你使用的是密码管理器,那么你可能会比不使用密码管理器的人更安全一些,但即使是用了密码管理器,也无法避免漏洞问题。

最终我们了解到,我们的密码加密功能的安全性,部分会受到浏览器行为的破坏。由于浏览器本身认为物理访问攻击超出了其威胁模型,而我们当前的钱包是建立在浏览器之上的,因此事实证明,减少这种攻击面的规模需要耗费大量人力,而且可能无法完全消除这种攻击。最终,很可能只有「全磁盘加密」才能为你的计算机提供强大的物理计算机访问安全性。

一般来说,计算机/浏览器等应该在某种程度上暂时或永久地存储文本输入。然而,由于保护你的助记词短语的安全性有多么重要,因此需要注意此特定场景,以便用户可以采取相应的行动。

幸运的是,密码似乎仍然提供了一定程度的安全性。我们发现,只有在非常特定的情况下才能提取助记词短语,并且我们已经能够在 Halborn 等待披露的时间段内引入新的保护措施,并且我们计划实施更多的保护措施,以进一步降低这种风险。这意味着如果你不使用自己的钱包(或将你的计算机交给其他人),锁定钱包仍然是一个好习惯。

一些重要的事:

1、请花点时间在你的计算机上启用全盘加密。这是确保你的计算机不会被具有物理访问权限的人提取其所有内容的唯一方法。我们还建议用户使用硬件钱包作为额外的安全措施。

2、清除你的浏览器缓存数据(我们的研究表明,这在某些情况下可能对某些用户有所帮助)

3、请记住,确保计算机安全是你的责任,如果运行它的系统受到威胁,任何钱包或软件都无法保证自身的安全,花点时间学习如何让计算机避免恶意软件。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

欧易okex官网一文对比主流公链流动性质押方案

当八音盒的音乐骤停,木马停止了转动,当流动性的节奏不能连续,金融市场则进入恐慌。近期,无论是Celisus引发的stETH流动性危机,还是交易所AEX因为资金期限错配,短期流动性资金不足而暂停用户提币,都是市场流动性不足所带来的负面影响。 在加密市场,流动性质押项目的本意是在帮助用户获得PoS收益的同时,能够释放质押资产的流动性。

Luna一文盘点值得关注的Move to Earn加密应用

跑步作为门槛最低的日常运动之一,只要你愿意走出家门,就能够参与其中,而把跑步和代币奖励有机结合,帮助 STEPN 快速建立了可观的用户规模。随着 STEPN 爆火出圈,一众「Move to Earn」概念的 Dapp 如雨后春笋般涌现。 在这些 Dapp 当中,有许多是与知名品牌公司合作开发的,也有一些是新兴公司创建的。

瑞波币详解功能代币的价值来源及设计方法

X to earn的一个潮流逐渐受到大家追捧,可惜的是很多系统的代币设计都不是很成功。其中的原因有很多,但是一个最重要的原因是无脑撒币:即简单的因为用户使用了平台就给予用户代币。这种设计通常导致经济系统失衡,并用错误的激励导致用户错误的行为。一个好的代币系统应该有如下两个特点: 代币是为了激励目标的实现,而不能是目标本身。

币安app官方下载最新版Bankless: 十大浏览器钱包排名 WalletConnect得分最高

我们中的很多人应该都还记得,当初那些加密钱包没有太多选择的日子。现在,我们有了很多选择! 以下是Bankless的职业作家和Metaversal的创建者——William M. Peaster对基于浏览器的10个加密钱包作出的分析和评价,以探讨Metamask是否已经失去了浏览器钱包的主导地位? 十大浏览器钱包 先说重要的:浏览器钱包是通过网络浏览器使。

[0:0ms0-6:511ms