Metamask 钱包遭爆存在 IP 漏洞！恐衍生实体绑架、超级 DDoS 攻击 数据保护节点服务 OMNIA Protocol 的共同创办人 Alexandru Lupascu 1 月 20 日在个人 Medium 上发文指出，Metamask 钱包存在一暴露用户 IP 的漏洞，允许恶意攻击者将使用 者的身分与钱包连结，造成重大隐私风险，对此 Metamask 联合创办人 Daniel Finlay 承认此事为真、承诺尽快修补。 过程简单、可能衍生出超级 DDoS 攻击 Alexandru Lupascu 表示，该漏洞的允许恶意攻击者创建一枚 NFT，并在用户使用 Metamask 买进该枚 NFT 时取得用户的 IP 位址，由於 IP 位址具备唯一不可取代性，相 当於取得了识别用户身分的能力。 取得用户 IP 的过程相当容易，Alexandru Lupascu 表示由於将完整图片储存在区块链上 的成本过於昂贵，现有的做法多为将图片存在远端伺服器，区块链上仅储存该图像的 URL 。只要攻击者创建恶意的远端伺服器，当 Metamask 存取该张 NFT 时，用户的 IP 地址 就会外泄。 Alexandru Lupascu 进一步解释： 如果恶意攻击者从 IP 中推敲出更多资讯（例如地理位置、GSM 营运商等），可以进一步 带来实体风险，例如绑架行为。 – 一般 NFT 铸造、交易过程 | 图源：Medium – 该漏洞甚至能进一步衍生出其他攻击方式，Alexandru Lupascu 表示，恶意攻击者可以制 作大量 NFT，并将之统一指向单一 URL（某个歹徒想攻击的网站），接着再以空投为由吸 引无知用户们上钩，如此以来便可对同一 URL 施以 DDoS 攻击，规模可达到 Mirari 殭 屍网路规模的 8 倍（该攻击一度击垮 GitHub、Twitter、Reddit、Netflix、Airbnb 等 ）。 – 攻击可能过程演示 | 图源：Medium – 官方去年就收到通知，却迟未修补，创办人出面道歉 Alexandru Lupascu 表示，自己和另外两位同仁 Iman Hossini、Cristian Lupascu 去 年 12 月 14 日便主动联系 Metamask，并提供了初步的漏洞缓解想法，但对方仅表示会 在 2022 Q2 前完成补丁。Alexandru Lupascu 等人认为让庞大的 NFT 用户陷於危机当中 是无法接受的，於是决定诉诸公众、公布漏洞施压 Metamask 处理。 目前已知 iOS 的 Metamask 3.7.0 版本有此漏洞，Android 同样遭到波及，且最新的 3.8.0 版本同样也有此问题。 消息传开後，社群开始炎上此事，Alexandru Lupascu 更表示 Metamask 方在联系前就知 道这个漏洞，却迟迟不处理。至此终於逼出 Metamask 的共同创办人 Daniel Finlay，其 在推特上承认此事： 是的，这个问题早已广为人知，所以我认为不适用漏洞披露。 不过，Alex 指责我们没有尽快解决这个问题是正确的。 我们现在立刻动工，感谢你的指教，我们很需要他。 尽管 Daniel Finlay 紧急止血，但已有乡民愤怒的表示： 为什麽不早点解决？是不是还有其他漏洞，而你正坐视不理？ https://reurl.cc/120qvV 狐狸钱包有IP漏洞 很多人钱放狐狸钱包 专家怎麽看 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.234.147.83 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/DigiCurrency/M.1643012770.A.DDF.html