慢雾：iCloud用戶的MetaMask钱包遭遇钓鱼攻击简析

3 years ago

source link: https://www.ccvalue.cn/article/1396162.html
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.

慢雾：iCloud用戶的MetaMask钱包遭遇钓鱼攻击简析

• 17 小时前

碳链价值APP讯，首先用户遭遇了钓鱼攻击，是由于自身的安全意识不足，泄露了 iCloud 账号密码，用户应当承担大部分的责任。但是从钱包产品设计的角度上分析，MetaMask iOS App 端本身就存在有安全缺陷。MetaMask 安卓端在 AndroidManifest.xml 中有 android:allowBackup="false" 来禁止应用程序被用户和系统进行备份，从而避免备份的数据在其他设备上被恢复。https://github.com/MetaMask/metamask-mobile/blob/main/android/app/src/main/AndroidManifest.xml#L17

MetaMask iOS 端代码中没有发现存在这类禁止钱包数据(如 KeyStore 文件)被系统备份的机制。默认情况下iCloud会自动备份应用数据，当 iCloud 账号密码等权限信息被恶意攻击者获取，攻击者可以从目标 iCloud 里恢复 MetaMask iOS App 钱包的相关数据。

慢雾安全团队经过实测通过 iCloud 恢复数据后再打开 MetaMask 钱包，还需要输入验证钱包的密码，如果密码的复杂度较低就会存在被破解的可能。iOS App 端在代码上如何避免 iCloud 自动备份钱包 App 中的数据可以参考：https://developer.apple.com/documentation/foundation/optimizing_your_app_s_data_for_icloud_backup

Recommend