A seguran\u00e7a da MetaMask ganhou destaque depois que a Consensys revelou que um contratado, posteriormente descrito como ligado \u00e0 Coreia do Norte, contribuiu para o c\u00f3digo relacionado \u00e0 MetaMask por cerca de um m\u00eas antes de a empresa encerrar seu acesso em abril. O contratado entrou por meio de uma rela\u00e7\u00e3o existente com um prestador de servi\u00e7os terceirizado e trabalhou de 9 de mar\u00e7o at\u00e9 a revoga\u00e7\u00e3o do acesso.<\/p>\r\n\r\n\r\n\r\n
Ap\u00f3s identificar o risco potencial, a Consensys suspendeu os lan\u00e7amentos de produtos, iniciou uma investiga\u00e7\u00e3o completa e notificou as autoridades. A empresa afirmou que a investiga\u00e7\u00e3o n\u00e3o encontrou uso indevido de ativos ou dados, nenhuma implanta\u00e7\u00e3o de c\u00f3digo malicioso e nenhum impacto para a seguran\u00e7a dos usu\u00e1rios. O caso tamb\u00e9m levou a uma revis\u00e3o das pr\u00e1ticas adotadas com prestadores de servi\u00e7os terceirizados.<\/p>\r\n\r\n\r\n\r\n
A seguran\u00e7a da MetaMask passou a fazer parte das discuss\u00f5es depois que a Consensys identificou<\/a> o problema antes que qualquer dano fosse confirmado. O diretor jur\u00eddico Matt Corva afirmou que a empresa detectou rapidamente a poss\u00edvel amea\u00e7a, encerrou o acesso do contratado, iniciou uma investiga\u00e7\u00e3o completa e informou as autoridades.<\/p>\r\n\r\n\r\n\r\n O contratado contribuiu para o c\u00f3digo relacionado \u00e0 MetaMask entre 9 de mar\u00e7o e abril por meio de um prestador de servi\u00e7os terceirizado. A Consensys informou posteriormente que o indiv\u00edduo estava ligado \u00e0 Coreia do Norte. Segundo Corva, a investiga\u00e7\u00e3o confirmou que n\u00e3o houve uso indevido de ativos ou dados, nenhuma implanta\u00e7\u00e3o de c\u00f3digo malicioso e nenhum impacto para a seguran\u00e7a dos usu\u00e1rios.<\/p>\r\n\r\n\r\n\r\n Os procedimentos de seguran\u00e7a da MetaMask inclu\u00edram a suspens\u00e3o tempor\u00e1ria dos lan\u00e7amentos enquanto a empresa investigava o caso. Um alerta interno emitido em abril orientou as equipes a interromper todos os lan\u00e7amentos de produtos e aconselhou os funcion\u00e1rios a n\u00e3o interagirem com o contratado durante a investiga\u00e7\u00e3o. Corva afirmou que o contratado havia sido contratado por meio de um relacionamento existente com um prestador de servi\u00e7os terceirizado considerado confi\u00e1vel.<\/p>\r\n\r\n\r\n\r\n Ele acrescentou que a Consensys revisou suas pr\u00e1ticas para prestadores de servi\u00e7os a fim de garantir que os mesmos padr\u00f5es rigorosos aplicados aos funcion\u00e1rios tamb\u00e9m sejam estendidos \u00e0s rela\u00e7\u00f5es externas mais complexas. Corva tamb\u00e9m afirmou que a resposta da empresa demonstrou que seus protocolos de seguran\u00e7a identificaram rapidamente o problema e facilitaram a coordena\u00e7\u00e3o com as autoridades.<\/p>\r\n\r\n\r\n\r\n As orienta\u00e7\u00f5es de seguran\u00e7a da MetaMask destacam que o acesso de contratados deve permanecer sob supervis\u00e3o cont\u00ednua, em vez de depender apenas das verifica\u00e7\u00f5es realizadas antes da contrata\u00e7\u00e3o. A empresa alerta que pessoas mal-intencionadas podem usar identidades falsas ou documentos falsificados para conseguir fun\u00e7\u00f5es remotas de engenharia.<\/p>\r\n\r\n\r\n\r\n A MetaMask recomenda verificar identidades com documentos aut\u00eanticos, realizar v\u00e1rias entrevistas, usar autentica\u00e7\u00e3o por hardware, verificar endere\u00e7os IP e localiza\u00e7\u00f5es, fazer checagens de refer\u00eancias e limitar o acesso aos sistemas cr\u00edticos. A Consensys tamb\u00e9m recomenda permiss\u00f5es restritas para reposit\u00f3rios, revis\u00f5es independentes para altera\u00e7\u00f5es de c\u00f3digo destinadas \u00e0 produ\u00e7\u00e3o, maior aten\u00e7\u00e3o \u00e0s contribui\u00e7\u00f5es externas e remo\u00e7\u00e3o imediata do acesso quando ele n\u00e3o for mais necess\u00e1rio.<\/p>\r\n\r\n\r\n\r\n A seguran\u00e7a da MetaMask tamb\u00e9m destaca a import\u00e2ncia de manter controles operacionais claros quando colaboradores externos participam do desenvolvimento de software. A empresa informou que n\u00e3o houve qualquer indica\u00e7\u00e3o de comprometimento de contas de usu\u00e1rios, ativos em carteiras ou dados corporativos.<\/p>\r\n\r\n\r\n\r\n Mesmo assim, o incidente demonstrou a import\u00e2ncia de limitar o acesso aos reposit\u00f3rios, revisar continuamente as permiss\u00f5es e manter um processo definido para suspender lan\u00e7amentos enquanto atividades suspeitas s\u00e3o investigadas. Essas medidas ajudam a reduzir riscos operacionais sem indicar que houve um comprometimento.<\/p>\r\n\r\n\r\n\r\n A seguran\u00e7a da MetaMask continua sendo o foco da revis\u00e3o da Consensys sobre suas pr\u00e1ticas de engenharia com terceiros ap\u00f3s o incidente. A empresa reafirmou que sua investiga\u00e7\u00e3o n\u00e3o encontrou evid\u00eancias de comprometimento de ativos, dados, implanta\u00e7\u00e3o de c\u00f3digo malicioso ou preju\u00edzo aos usu\u00e1rios, apesar do acesso tempor\u00e1rio do contratado.<\/p>\r\n\r\n\r\n\r\n A revis\u00e3o das pr\u00e1ticas de fornecedores demonstra o esfor\u00e7o da empresa para fortalecer a supervis\u00e3o de colaboradores externos e refor\u00e7ar as medidas de seguran\u00e7a j\u00e1 existentes no desenvolvimento. O incidente destaca a import\u00e2ncia da detec\u00e7\u00e3o r\u00e1pida, do controle de acesso aos reposit\u00f3rios e de procedimentos estruturados de resposta para proteger projetos de software.<\/p>\r\n\r\n\r\n\r\n Seguran\u00e7a da MetaMask:<\/strong> Medidas de prote\u00e7\u00e3o para o c\u00f3digo, os sistemas e os usu\u00e1rios da MetaMask.<\/p>\r\n\r\n\r\n\r\n Consensys:<\/strong> Empresa respons\u00e1vel pelo desenvolvimento da MetaMask.<\/p>\r\n\r\n\r\n\r\n Contratado Terceirizado:<\/strong> Profissional externo contratado por meio de um prestador de servi\u00e7os.<\/p>\r\n\r\n\r\n\r\n Acesso ao Reposit\u00f3rio:<\/strong> Permiss\u00e3o para acessar ou modificar o c\u00f3digo-fonte.<\/p>\r\n\r\n\r\n\r\n Contribui\u00e7\u00e3o de C\u00f3digo:<\/strong> Atualiza\u00e7\u00e3o de software enviada por um desenvolvedor.<\/p>\r\n\r\n\r\n\r\n N\u00e3o. A Consensys informou que sua investiga\u00e7\u00e3o n\u00e3o encontrou impacto para usu\u00e1rios, carteiras ou dados da empresa.<\/p>\r\n\r\n\r\n\r\n A Consensys suspendeu os lan\u00e7amentos para investigar o poss\u00edvel risco de seguran\u00e7a.<\/p>\r\n\r\n\r\n\r\n A Consensys removeu o contratado ap\u00f3s identificar um poss\u00edvel risco de seguran\u00e7a.<\/p>\r\n\r\n\r\n\r\n O contratado trabalhou no c\u00f3digo relacionado \u00e0 MetaMask de 9 de mar\u00e7o at\u00e9 abril, quando seu acesso foi encerrado.<\/p>\r\n\r\n\r\n\r\n A MetaMask recomenda verifica\u00e7\u00e3o de identidade, acesso limitado, revis\u00e3o de c\u00f3digo e monitoramento cont\u00ednuo.<\/p>\r\n\r\n\r\n\r\n Cryptoslate<\/a><\/p>\r\n\r\n\r\n\r\n Dropsite<\/a><\/p>\r\n\r\n\r\n\r\nPor que os lan\u00e7amentos de produtos foram suspensos?<\/h2>\r\n\r\n\r\n\r\n
Como a seguran\u00e7a da MetaMask pode fortalecer a supervis\u00e3o de contratados?<\/h2>\r\n\r\n\r\n\r\n
Por que o incidente \u00e9 importante para as equipes de desenvolvimento?<\/h2>\r\n\r\n\r\n\r\n
Conclus\u00e3o<\/h2>\r\n\r\n\r\n\r\n
Gloss\u00e1rio<\/h2>\r\n\r\n\r\n\r\n
Perguntas Frequentes sobre a Seguran\u00e7a da MetaMask<\/h2>\r\n\r\n\r\n\r\n
Os usu\u00e1rios da MetaMask foram afetados?<\/h3>\r\n\r\n\r\n\r\n
Por que a Consensys suspendeu os lan\u00e7amentos de produtos?<\/h3>\r\n\r\n\r\n\r\n
Por que a Consensys removeu o contratado?<\/h3>\r\n\r\n\r\n\r\n
Por quanto tempo o contratado trabalhou na MetaMask?<\/h3>\r\n\r\n\r\n\r\n
Quais medidas de seguran\u00e7a a MetaMask recomenda?<\/h3>\r\n\r\n\r\n\r\n
Fontes<\/h3>\r\n\r\n\r\n\r\n