Carteira MetaMask alerta para risco grave de ataque para usuários da Apple

MetaMask, a popular carteira de autocustódia do Ethereum, alertou, no domingo (17), que usuários da Apple tomassem cuidado com possíveis ataques de phishing via iCloud.

Em um tuíte recente, a empresa disse que as senhas criptografadas das contas dos usuários (as vaults) eram enviadas automaticamente ao serviço de nuvem da Apple se a opção de backup do iCloud estivesse ativada no aplicativo.

Isso pode resultar em um phishing que compromete a conta do iCloud do usuário e, por consequência, suas senhas e qualquer carteira de criptomoedas que estiver sincronizada.

A MetaMask também explicou como desativar backups no iCloud para suas carteiras cripto.

You can disable iCloud backups for MetaMask specifically by turning off the toggle here:
Settings > Profile > iCloud > Manage Storage > Backups.
2/3
— MetaMask 🦊💙 (@MetaMask) April 17, 2022
 

Quem foi alvo do phishing?

O anúncio surgiu após um usuário do Twitter, sob o pseudônimo de “Domenic Iacovone”, compartilhar detalhes de como seus fundos armazenados em uma carteira MetaMask foram “completamente zerados” por hackers.

“Recebi uma ligação da Apple — literalmente da Apple (segundo o identificador de chamadas). Liguei de volta porque suspeitei [que fosse] uma fraude e era um número da Apple. Então acreditei neles. Pediram um código que havia sido enviado ao meu celular e, dois segundos depois, minha MetaMask foi zerada”, tuitou Iacovone na sexta-feira (15).

Segundo ele, sua carteira continha tokens não fungíveis (ou NFTs, na sigla em inglês) da popular coleção Mutant Ape Yacht Club (ou MAYC), que incluía os MAYCs nº 28.478, nº 8.952 e nº 7.536. Também continha US$ 100 mil em apecoin (APE) e outros NFTs.

This is how it happened, Got a phone call from apple, literally from apple (on my caller Id) Called it back because I suspected fraud and it was an apple number. So I believed them
They asked for a code that was sent to my phone and 2 seconds later my entire MetaMask was wiped
— Domenic Iacovone (@revive_dom) April 14, 2022
 

Iacovone também ofereceu uma recompensa de US$ 100 mil para quem o ajudasse a recuperar seus fundos.

De acordo com “Serpent”, fundador do projeto NFT Dape, a carteira de Iacovone continha cerca de US$ 650 mil.

Em outra série de tuítes, Serpent explicou os detalhes do hack:

A MetaMask salva sua frase seed em seu iCloud. Os golpistas pediam uma senha de recuperação para o ID Apple da vítima. Após receber o código 2FA [de autenticação de dois fatores], conseguiam controlar o ID Apple e acessar o iCloud, obtendo acesso à MetaMask da vítima.

3/ MetaMask actually saves your seed phrase file on your iCloud. The scammers requested a password reset for the victim's Apple ID. After receiving the 2FA code, they were able to take control over the Apple ID, and access iCloud which gave them access to the victim's MetaMask.
— Serpent (@Serpent) April 17, 2022
 

Isso “vai acontecer com bem mais pessoas”, enfatizou.

MetaMask está no centro da comunidade Web 3

Criada pelo estúdio nova-iorquino ConsenSys, a MetaMask é uma das carteiras mais populares da indústria para o armazenamento de ether (ETH) e de outras criptomoedas: possui mais de 30 milhões de usuários mensais ativos.

A carteira também está disponível via extensão para navegador, conectada a diversas aplicações Web 3 e usada ativamente na aquisição de NFTs.

Em março, a MetaMask anunciou planos de criar uma organização autônoma descentralizada (ou DAO), cujo objetivo principal será financiar o desenvolvimento da carteira.

O lançamento de um token nativo também está em andamento.

“Existe uma DAO sendo formada agora no contexto da MetaMask”, explicou Joseph Lubin, CEO da ConsenSys. “Não irá governar a MetaMask, mas permitirá a criação de novos elementos de financiamento para a MetaMask.”

*Traduzido por Daniela Pereira do Nascimento com autorização do Decrypt.co.