【安全头条】黑客从iCloud备份中获取MetaMask种子后窃取了655万美元

1、黑客从iCloud备份中获取MetaMask种子后窃取了655万美元

MetaMask已向iOS用户发布警告，如果应用数据备份处于活动状态，苹果iCloud中会存储加密货币钱包的种子。MetaMask是一款“热门”加密货币钱包，有2100多万投资者使用它来存储钱包令牌和管理数字资产。在加密货币术语中，“种子”是一个秘密恢复短语，由12个单词组成，用于保护对钱包内容的访问。将钱包种子存储在iCloud中实际上意味着，如果所有者的苹果账户受损，他们的数字资产也会面临风险。

不幸的是，上述场景已经被用于攻击至少一名MetaMask用户，该用户因精心策划的网络钓鱼攻击而损失了超过655k美元。[点击“阅读原文”查看详情]

2、Beanstalk加密货币在2009年损失1.82亿美元

Beanstalk加密货币已被剥夺价值超过袭击者用借来的钱抢购后，几秒钟内损失1.8亿美元（1.38亿英镑）足够的投票权来转移这笔钱。

闪电般的敌意收购引发了关于不受监管性质的新问题以及对投资者缺乏保护。Beanstalk称自己是一个“基于分散信用的stablecoin协议”提供一种名为beans的加密货币，目的是使每枚硬币的价值稳定在1美元。

信息技术作为银行有效运作，让储户（“豆农”）存款“豆子”变成了“田”），并用自己的积蓄来确保一个单一的价值bean尽可能地接近1美元。[点击“阅读原文”查看详情]

3、美国上诉法院重申抓取网页是合法的

对于档案管理员、学者、研究人员和记者来说，这是一个好消息：根据美国上诉法院的一项裁决，刮取公开获取的数据是合法的。美国第九上诉巡回法庭做出的这一具有里程碑意义的裁决，是LinkedIn发起的一场长期法律战的最新一次。这场法律战的目的是阻止一家竞争对手从用户的公开资料中通过网络窃取个人信息。该案于去年提交美国最高法院，但被送回第九巡回法院，由原上诉法院重新审查该案。

在周一的第二次裁决中，第九巡回法院重申了其最初的裁决，并认定，在互联网上公开获取的数据并没有违反《计算机欺诈和滥用法案》（CFAA），该法案根据美国法律对计算机黑客行为的构成进行了规定。[点击“阅读原文”查看详情]

4、GNU gzip的zgrep实用程序中发现了一个任意文件写入漏洞

当对攻击者选择的文件名（例如，精心编制的文件名）应用zgrep时，这可能会将攻击者的内容覆盖到攻击者选择的任意文件中。在处理包含两行或多行换行符的文件名时，如果选定内容和目标文件名嵌入到精心编制的多行文件名中，则会由于验证不足而出现此漏洞。此漏洞允许远程低权限攻击者强制zgrep在系统上写入任意文件。这个bug是在gzip-1.3.10中引入的，相对来说很难利用。

Red Hat已经调查了这个问题是否存在可能的缓解措施，并且还没有找到一个实际的例子。请尽快更新受影响的软件包。除非明确声明不受影响，否则此处列出的产品的任何次要更新流中的所有以前版本的软件包都应被视为易受攻击，尽管可能没有经过全面分析。[点击“阅读原文”查看详情]

5、LinkedIn品牌在网络钓鱼攻击中最冒充的品牌处于领先地位

安全研究人员警告称，LinkedIn已成为网络钓鱼攻击中最具欺骗性的品牌，占全球所有此类事件的52%以上。

这些数据来自网络安全公司Check Point，该公司在今年第一季度记录了网络钓鱼事件中LinkedIn品牌滥用的急剧上升。

第二个类似的品牌是德国快递DHL，该公司此前排名第一。造成这种情况的一个因素是假日期间购物的增加。

结合DHL、联邦快递、马士基和阿里快递，2022年前三个月与航运相关的网络钓鱼信息占21.8%，仍占很大一部分。

在Check Point提供的LinkedIn模拟示例中，到达目标收件箱的钓鱼电子邮件带有LinkedIn徽标和特定于公司的风格，并带有与虚构公司连接的欺诈请求。[点击“阅读原文”查看详情]