metamask:慢霧發布iCloud 用戶的MetaMask錢包遭遇釣魚攻擊簡析

慢霧發布iCloud用戶的MetaMask錢包遭遇釣魚攻擊簡析。稱首先用戶遭遇了釣魚攻擊，是由于自身的安全意識不足，泄露了iCloud賬號密碼，用戶應當承擔大部分的責任。但是從錢包產品設計的角度上分析，MetaMaskiOSApp端本身就存在有安全缺陷。

聲音 | 慢霧預警：攻擊者喊話所有鏈上偽隨機數(PRNG)都可被攻擊:攻擊者 floatingsnow 向自己的子賬號 norealrandom、dolastattack 轉賬并在 memo 中喊話：hi slowmist/peckshield: not only timer-mix random but all in-chain PRNG can be attack, i suggest b1 export new apis (get_current_blockid/get_blockhash_by_id) instead of prefix/num

從賬號名稱和 memo 可知攻擊者對目前 EOS DApp 鏈上隨機數方案了如指掌，攻擊者指出 tapos_block_prefix/tapos_block_num 均不安全，并提議 b1 新增 get_current_blockid / get_blockhash_by_id 接口。[2019/1/16]

MetaMask安卓端在AndroidManifest.xml中有android:allowBackup="false"來禁止應用程序被用戶和系統進行備份，從而避免備份的數據在其他設備上被恢復。

動態 | 慢霧區：已修復EOS智能合約底層asset類溢出缺陷:據慢霧區消息， EOS智能合約底層asset類存在溢出缺陷，目前 EOSIO v1.1.4版本已修復該問題。如果智能合約中使用到了 asset的乘法操作，建議更新對應的代碼并重新編譯合約。因為像 asset這樣的工具代碼是靜態編譯進合約中的，必須重新編譯才能解決其中的安全隱患。[2018/8/9]

https://github.com/MetaMask/metamask-mobile/blob/main/android/app/src/main/AndroidManifest.xml#L17

動態 | 慢霧區發布XRP假充值漏洞預警:據慢霧區披露，瑞波幣(XRP)存在假充值漏洞（類似于之前披露的 USDT 及以太坊代幣假充值漏洞），已有真實攻擊在發生，一旦攻擊成功，會非常嚴重。[2018/7/30]

MetaMaskiOS端代碼中沒有發現存在這類禁止錢包數據(如KeyStore文件)被系統備份的機制。默認情況下iCloud會自動備份應用數據，當iCloud賬號密碼等權限信息被惡意攻擊者獲取，攻擊者可以從目標iCloud里恢復MetaMaskiOSApp錢包的相關數據。

慢霧安全團隊經過實測通過iCloud恢復數據后再打開MetaMask錢包，還需要輸入驗證錢包的密碼，如果密碼的復雜度較低就會存在被破解的可能。

iOSApp端在代碼上如何避免iCloud自動備份錢包App中的數據可以參考：

https://developer.apple.com/documentation/foundation/optimizing_your_app_s_data_for_icloud_backup

Tags：metamaskMASKMETASKMetaMask最新版本metamask小狐貍錢包安卓版最新版本metamask幣轉不出來mask幣創始人是中國的嗎

SHIB