原文标题：《一文了解如何免受 MetaMask 浏览器钱包安全漏洞的影响》
注：北京时间 6 月 16 日凌晨，ConsenSys 开发者 Dan Finlay?披露了 MetaMask 浏览器扩展钱包存在的安全漏洞，这可能导致一小部分用户的钱包资金面临被盗风险，对此问题，他给出了一些安全建议。
Halborn 的研究人员发现了一种情况，即在极少数情况下可以在磁盘上发现未加密的用户密钥，该问题已经在 10.11.3 版本的 MetaMask 浏览器扩展钱包以及更高版本的钱包中得到了修复。
Halborn 的安全研究人员披露了一个实例，在某种情况下，可以从被攻击的计算机磁盘中提取 MetaMask 等 Web 钱包使用的助记词短语。
FTX现任CEO：确保FTX所有资产安全将需要数周或数月时间:金色财经报道，FTX现任首席执行官John Ray预计，确保该公司所有资产的安全将需要数周或数月时间。SBF从公司获得了大量贷款。前FTX首席执行官SBF曾作为一笔贷款的发放者和接受者签字。FTX的银行状况本应是客户的一个危险信号。安永正在审查FTX是否合理地报税。Ray认同需要对加密货币进行更多的控制和监管。
此前报道，FTX现任CEO称，还在调查Alameda向SBF提供10亿美元贷款的去向。[2022/12/14 21:43:03]
以下内容不会影响 MetaMask 移动端钱包用户，而只会影响一小部分 MetaMask 浏览器扩展用户以及其他浏览器/扩展钱包用户。我们已经针对这些问题实施了缓解措施，因此对于 10.11.3 版本以及更高版本的 MetaMask 浏览器扩展钱包用户来说，这些不应该是问题。注意，如果以下三个条件都适用于你，那你的钱包可能会面临风险，你应该阅读以下内容了解后续步骤：
Coinbase前CTO：SEC应该会起草安全代币合法化的法案:1月29日消息，Coinbase前首席技术官Balaji S. Srinivasan发推表示，现在SEC表明问题不在于某些加密货币可能是证券，问题在于所有证券还不是加密货币，所以该起草使安全代币合法化的法案了。[2021/1/29 14:20:47]
你的硬盘未加密；你已经将助记词短语导入到设备上的 MetaMask 浏览器扩展钱包中，而该设备由你不信任的人拥有，或者你的计算机已经被黑。在导入过程中，你使用了「显示助记词短语」（Show Secret Recovery Phrase）复选框在屏幕上查看你的助记词。（如下图所示）
声音 | 比特币安全专家：加密货币钱包安全性最好的是硬件钱包:据AMBcrypto 12月22日消息，比特币安全专家Andreas Antonopoulos表示，大多数台式机操作系统的安全性都不够，大多数台式机和笔记本电脑的安全性不足以容纳加密货币。根据Antonopoulos的说法，在用户的设备上生成一个安全的助记短语的钱包是硬件钱包，该短语不会离开设备，存储资金的最佳方式是使用硬件钱包。但是硬件钱包很昂贵。因此，他说，在这种情况下，第二好的选择是在智能手机上下载钱包。他进一步表示，由于桌面钱包的安全性要比从手机上下载的安全性低得多，因此，他建议用户仅与硬件钱包结合使用桌面钱包，并将密钥是生成并存储在硬件钱包中，而不是在通用操作系统上。[2019/12/23]
这会影响：
1、我们测试过的所有桌面操作系统以及浏览器；
动态 | 密码技术广泛应用于区块链等领域 《密码法》实施将有力推动网络空间的安全建设:据央视报道，13日，第十届中国信息安全法律大会在北京召开，参会的专家学者表示，明年元旦正式生效的《中华人民共和国密码法》，是我国国家安全法律体系的重要组成部分。密码技术广泛应用于第二代居民身份证、芯片银行卡、税收、区块链等领域，在当前网络犯罪高发的态势下，《密码法》实施后，将有力推动网络空间的安全建设，遏制网络犯罪。[2019/12/15]
2、我们使用 Google Chrome、Chromium 和 Firefox 浏览器在 Windows、macOS 和 Linux 上进行了测试；
3、所有浏览器版本上的所有版本 MetaMask 扩展（v10.11.3 之前）钱包。
但这个漏洞不会影响 MetaMask 移动端钱包。
助记词短语最终会被清除，但我们目前无法保证何时清除。
该漏洞最有可能影响那些在将助记词导入 MetaMask 后不久，设备就遭到入侵或被盗的用户。
如果你符合上述的所有条件，那那些有权访问你计算机的人，就可能会拿到你的助记词短语，因此你可能需要考虑从这些账户中将资金转移出去以确保安全。我们准备了一份迁移账户资金的指南，使用任何第三方迁移工具都需要自行承担风险。
注意，可以物理访问你的计算机的人或恶意软件可能会利用此漏洞进行攻击，而如果你的设备受到恶意软件的攻击，那有些攻击是无法进行防御的（例如键盘记录器、直接内存访问和程序控制）。
如果你的计算机有可能受到你不信任的人的影响，我们建议你在系统上启用「全磁盘加密」。此外，如果你的资金是由一个硬件钱包管理，那你不会受到该漏洞的影响。
受影响的用户应考虑将资金从旧钱包账户转移到新的钱包账户地址。
本文档的其余部分将提供一些额外的详细信息，以及有关如何最好地保护你的钱包安全的建议。稍后，我们将披露有关问题性质的更多细节，以便其他软件开发人员可以自己避免这些问题，但目前我们会先提醒用户，以最大程度地降低盗窃风险。
如上文所述，如果你的计算机受到了威胁（无论是物理威胁还是恶意软件），你都无法确定在该计算机上运行的任何程序的安全性。
这是流行的密码管理器 1 Password 团队已经承认并讨论过的问题，1 Password 的首席安全架构师 Jeffrey Goldberg 解释过要解决该问题的困难之处，他说：
「这是一个众所周知的问题，之前该问题已经被公开讨论过很多次，但任何看似合理的解决方案都可能比问题本身更糟糕。」
如果你使用的是密码管理器，那么你可能会比不使用密码管理器的人更安全一些，但即使是用了密码管理器，也无法避免漏洞问题。
最终我们了解到，我们的密码加密功能的安全性，部分会受到浏览器行为的破坏。由于浏览器本身认为物理访问攻击超出了其威胁模型，而我们当前的钱包是建立在浏览器之上的，因此事实证明，减少这种攻击面的规模需要耗费大量人力，而且可能无法完全消除这种攻击。最终，很可能只有「全磁盘加密」才能为你的计算机提供强大的物理计算机访问安全性。
一般来说，计算机/浏览器等应该在某种程度上暂时或永久地存储文本输入。然而，由于保护你的助记词短语的安全性有多么重要，因此需要注意此特定场景，以便用户可以采取相应的行动。
幸运的是，密码似乎仍然提供了一定程度的安全性。我们发现，只有在非常特定的情况下才能提取助记词短语，并且我们已经能够在 Halborn 等待披露的时间段内引入新的保护措施，并且我们计划实施更多的保护措施，以进一步降低这种风险。这意味着如果你不使用自己的钱包（或将你的计算机交给其他人），锁定钱包仍然是一个好习惯。
一些重要的事：
1、请花点时间在你的计算机上启用全盘加密。这是确保你的计算机不会被具有物理访问权限的人提取其所有内容的唯一方法。我们还建议用户使用硬件钱包作为额外的安全措施。
2、清除你的浏览器缓存数据（我们的研究表明，这在某些情况下可能对某些用户有所帮助）
3、请记住，确保计算机安全是你的责任，如果运行它的系统受到威胁，任何钱包或软件都无法保证自身的安全，花点时间学习如何让计算机避免恶意软件。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。