Demonic Vulnerability 测试指南

概要说明

恶魔漏洞（CVE-2022-32969）是指插件钱包在特定条件下助记词以明文形式存在于磁盘上的问题。可以参考 MetaMask 钱包的官方说明文章：《Security Notice: Extension Disk Encryption Issue》或阅读慢雾的分析文章《MetaMask 浏览器扩展钱包 demonic 漏洞分析》。

漏洞定位

在使用插件钱包创建完助记词后，请关闭页面。

下载 Python 脚本并安装所需的依赖库，执行脚本以搜索指定磁盘路径是否缓存了明文助记词。如果发现明文助记词，脚本会发出提示音🔔并打印出明文助记词。

修复方式

如果扩展钱包在 Tabs 页面中以纯文本形式输入助记词导入钱包，那么它可能受到恶魔漏洞的影响。可以参考 MetaMask 版本 >= 10.11.3 的实现方式，为每个助记词定义单独的输入框，并将输入框类型设置为密码。