- MetaMask τερματίζει την λειτουργία των επηρεαζόμενων επικυρωτών Ethereum από το Lido ως προφύλαξη, αφού εντόπισε ένα πρόβλημα ασφαλείας σε μέρος της υποδομής του.
- Η εταιρεία λέει ότι έχει κανένα άμεσο σημάδι κινδύνου σε πορτοφόλια MetaMask και δεν έχει ζητήσει από τους χρήστες να μεταφέρουν χρήματα.
- Ένας ερευνητής εντόπισε περίπου 0.36 ETH σε μπλοκ ανταμοιβών που αποστέλλονται σε μια απροσδόκητη διεύθυνση. Οι εκτιμήσεις για 17,000 επικυρωτές και 523,000 ETH παραμένουν ανεπιβεβαίωτες.
- Το Lido αναμένει ότι οι τελευταίοι επικυρωτές που επηρεάζονται θα αποχωρήσουν έως Οκτώβριος 7, με την πλήρη απόσυρση και την επανείσοδο να πιθανώς θα διαρκέσουν περίπου 45 ημέρες.
Η MetaMask βρέθηκε αντιμέτωπη με ένα ζήτημα ασφαλείας που επηρεάζει μέρος της υποδομής πίσω από την υπηρεσία staking Ethereum και η εταιρεία έχει αρχίσει να αποσύρει τους επηρεαζόμενους επικυρωτές ως μέτρο ασφαλείας . Ο πάροχος πορτοφολιών λέει ότι η κίνηση είναι προληπτική. Σύμφωνα με τη δημόσια ενημέρωσή της, δεν έχει εντοπίσει τίποτα που να υποδηλώνει άμεσο κίνδυνο για τα συνηθισμένα πορτοφόλια MetaMask. Αυτή η διάκριση έχει σημασία, επειδή το πρόβλημα εντοπίζεται στις λειτουργίες staking και όχι στο λογισμικό πορτοφολιού που χρησιμοποιούν οι περισσότεροι άνθρωποι για να διατηρούν tokens.
Η εταιρεία περιέγραψε για πρώτη φορά την κατάσταση την Τετάρτη, λέγοντας ότι χειριζόταν μια συνεχιζόμενη απειλή εσωτερικά, ενώ παράλληλα προσέλκυε εξωτερικούς συνεργάτες και συμβούλους ασφαλείας. Δεν κατονόμασε το παραβιασμένο σύστημα, δεν εξήγησε πώς αποκτήθηκε η πρόσβαση ούτε έδωσε έναν ακριβή αριθμό των εμπλεκόμενων επικυρωτών. Προς το παρόν, το κύριο μήνυμα για τους χρήστες είναι ότι δεν έχει ζητηθεί από κανέναν να μεταφέρει κεφάλαια ή να αλλάξει ρυθμίσεις . Αυτή η ήρεμη καθοδήγηση είναι χρήσιμη, αλλά αφήνει επίσης πολλά τεχνικά ερωτήματα ανοιχτά.
Το MetaMask λέει ότι τα πορτοφόλια δεν διατρέχουν άμεσο κίνδυνο
Στην ενημέρωσή της, η MetaMask χαρακτήρισε το περιστατικό ως κάτι που επηρεάζει ένα μέρος της δικής της υποδομής και όχι τα πορτοφόλια που ελέγχουν οι χρήστες. Η εταιρεία δήλωσε ότι δεν είχε εντοπίσει άμεση απειλή για τα πορτοφόλια MetaMask, ένα σημείο που επαναλήφθηκε σε αρκετές αναφορές. Ταυτόχρονα, απέφυγε να πει ότι το θέμα είχε κλείσει πλήρως. Η έρευνα βρίσκεται ακόμη σε εξέλιξη και αναμένονται περισσότερες λεπτομέρειες καθώς η εταιρεία μαθαίνει τι συνέβη.
Αυτή η διατύπωση αφήνει περιθώρια για λεπτές αποχρώσεις. Ένα περιστατικό ασφαλείας σε έναν μεγάλο πάροχο πορτοφολιών μπορεί να ακούγεται ανησυχητικό, αλλά το προφίλ κινδύνου εξαρτάται από τα συστήματα που επηρεάστηκαν. Η MetaMask έχει τονίσει ότι οι λειτουργίες staking της δεν είναι φύλαξης και ότι δεν διαχειρίζεται τα κλειδιά ανάληψης για το ETH που έχει ανατεθεί στους πελάτες. Με απλά λόγια, η εταιρεία μπορεί να λειτουργεί τα μηχανήματα που επικυρώνουν τις συναλλαγές, ενώ οι χρήστες διατηρούν ξεχωριστό έλεγχο σχετικά με το πού μπορούν να αναληφθούν τα staked κέρματά τους. Αυτός ο διαχωρισμός είναι κεντρικός για τον λόγο που η εταιρεία λέει ότι τα πορτοφόλια δεν αντιμετωπίζουν άμεση απειλή.
Ωστόσο, η έλλειψη λεπτομερειών έχει απογοητεύσει όσους θέλουν μια σαφή εικόνα. Η MetaMask δεν έχει αναφέρει εάν το πρόβλημα αφορούσε κάποιο τρωτό σημείο, μη εξουσιοδοτημένη πρόσβαση ή άλλο είδος λειτουργικής βλάβης. Επίσης, δεν έχει επιβεβαιώσει πόσοι επικυρωτές επηρεάστηκαν ή εάν εκτέθηκαν δεδομένα χρήστη . Για τους χρήστες, η πρακτική συμβουλή είναι απλή: να τηρούν τα επίσημα κανάλια, να αγνοούν τα επείγοντα μηνύματα που ζητούν φράσεις seed και να αντιμετωπίζουν τις φήμες στα μέσα κοινωνικής δικτύωσης με προσοχή. Οι απόπειρες ηλεκτρονικού "ψαρέματος" (phishing) συχνά ακολουθούν πραγματικά νέα ασφαλείας, επομένως οι ανεπιθύμητες προειδοποιήσεις μπορεί να είναι εξίσου επικίνδυνες με το αρχικό περιστατικό.
Οι επικυρωτές εξέρχονται μέσω του Lido ως προφύλαξη
Η πλευρά του staking της ιστορίας είναι εκεί όπου η αντίδραση γίνεται πιο ορατή. Η Lido, ένα πρωτόκολλο liquid staking που λειτουργεί με πολλαπλούς χειριστές κόμβων, δήλωσε ότι η MetaMask Staking είχε αρχίσει να λαμβάνει προληπτικά μέτρα για την προστασία των περιουσιακών στοιχείων των πελατών που συνδέονται με τους επικυρωτές Ethereum που λειτουργεί. Αυτοί οι επικυρωτές άρχισαν να εγκαταλείπουν το σύστημα της Lido την Τετάρτη. Το MetaMask Portfolio προσφέρει staking μέσω pooled staking, validator staking και liquid staking μέσω Lido και Rocket Pool, επομένως η έξοδος αφορά συγκεκριμένα τις επηρεαζόμενες λειτουργίες και όχι ένα γενικό κλείσιμο κάθε διαδρομής staking. Η ενέργεια στοχεύει στους επικυρωτές που εκτελεί η MetaMask, όχι στο Ethereum στο σύνολό του.
Ο Lido δήλωσε ότι οι τελευταίοι επικυρωτές που επηρεάζονται θα πρέπει να ολοκληρώσουν την έξοδό τους έως τις 7 Οκτωβρίου, αλλά αυτή η ημερομηνία δεν σημαίνει ότι το ETH θα επανέλθει αμέσως σε δράση. Ο πλήρης κύκλος περιλαμβάνει την έξοδο, την απόσυρση και την επανείσοδο στο σύνολο staking. Επειδή το Ethereum έχει μια ουρά για νέους επικυρωτές, αυτό το ταξίδι μετ' επιστροφής θα μπορούσε να διαρκέσει περίπου 45 ημέρες. Ο Will Shannon, προγραμματιστής στη Lido Finance, εξήγησε ότι το ETH από επικυρωτές που λειτουργούν με MetaMask θα επέστρεφε στο πρωτόκολλο σταδιακά καθώς κάθε επικυρωτής ολοκληρώνει τη διαδικασία. Κατά τη διάρκεια αυτού του κενού, οι επικυρωτές που επηρεάζονται σταματούν να παράγουν κανονικές ανταμοιβές staking.
Υπάρχει επίσης κίνδυνος κυρώσεων εάν οι επικυρωτές αποσυνδεθούν πριν ολοκληρωθεί η έξοδός τους. Αυτό δεν σημαίνει ότι έχει συμβεί κάποιο συμβάν περικοπής. Η περικοπή είναι μια πολύ πιο σκληρή τιμωρία που χρησιμοποιείται όταν οι επικυρωτές παραβιάζουν τους κανόνες συναίνεσης, όπως η υπογραφή αντικρουόμενων μπλοκ. Ούτε το MetaMask ούτε το Lido έχουν αναφέρει ότι συνέβη περικοπή. Αυτό που έχουν περιγράψει είναι μια προληπτική έξοδος και μια προσωρινή απώλεια εισοδήματος ενώ οι επικυρωτές είναι εκτός λειτουργίας. Η διαφορά μεταξύ χαμένων ανταμοιβών και χαμένου κεφαλαίου είναι σημαντική εδώ.
Μικρή Εκτροπή Αμοιβής, Μεγάλες Ανεπιβεβαίωτες Εκτιμήσεις
Ένας ερευνητής γνωστός ως Kaden έδωσε στο περιστατικό μια πιο συγκεκριμένη μορφή αναλύοντας την δραστηριότητα εντός της αλυσίδας. Σύμφωνα με αυτήν την ανάλυση, 18 από τους 19 επικυρωτές που λειτουργούσαν με MetaMask και έλαβαν πληρωμές παραγωγής μπλοκ έστειλαν αυτές τις ανταμοιβές σε μια απροσδόκητη διεύθυνση. Το εκτιμώμενο ποσό ήταν περίπου 0.36 ETH, ένα μικρό ποσό σε όρους δολαρίου σε σύγκριση με το μέγεθος της επιχείρησης staking. Το εύρημα έχει μικρότερη σημασία για τα χρήματα που εμπλέκονταν και περισσότερο για αυτό που υποδηλώνει: κάποιος είχε τη δυνατότητα να αλλάξει μια ρύθμιση που συνδεόταν με τις ανταμοιβές των επικυρωτών. Αυτό το είδος πρόσβασης μπορεί να ανακατευθύνει το εισόδημα χωρίς να αγγίξει το κεφάλαιο staking.
Η τεχνική διάκριση εξηγεί την περιορισμένη ζημιά που έχει αναφερθεί μέχρι στιγμής. Το Ethereum επιτρέπει στους χειριστές να ορίσουν μια διεύθυνση παραλήπτη τελών για τις χρεώσεις συναλλαγών και να μπλοκάρουν τις ανταμοιβές, ξεχωριστά από τα διαπιστευτήρια ανάληψης που ελέγχουν το ίδιο το staked ETH. Εάν ένας εισβολέας αλλάξει μόνο τον παραλήπτη τελών, μπορεί να εκτρέψει τις τρέχουσες ανταμοιβές. Δεν μπορεί απλώς να μετακινήσει το αρχικό stake. Ένα πιο σοβαρό σενάριο θα περιελάμβανε την υπογραφή κλειδιών, κάτι που θα μπορούσε να επιτρέψει σε έναν κακόβουλο παράγοντα να επιβάλει αντικρουόμενες βεβαιώσεις και να ενεργοποιήσει την περικοπή. Δεν έχει επιβεβαιωθεί τέτοιο αποτέλεσμα. Τα δημόσια στοιχεία μέχρι στιγμής υποδεικνύουν εκτρεπόμενες ανταμοιβές, όχι κλεμμένες καταθέσεις.
Ο Kaden εκτίμησε επίσης ότι οι προληπτικές αποχωρήσεις αφορούσαν περίπου 17,000 επικυρωτές και περίπου 523,000 ETH. Η MetaMask δεν έχει επιβεβαιώσει δημόσια αυτούς τους αριθμούς. Επομένως, είναι καλύτερο να αντιμετωπίζονται ως εξωτερική εκτίμηση που βασίζεται σε ορατά δεδομένα δικτύου και όχι σε επίσημο στοιχείο της εταιρείας. Η κλίμακα εξακολουθεί να είναι αξιοσημείωτη. Ο ιστότοπος της MetaMask ανέφερε ότι διαχειρίζεται περισσότερα από 3 δισεκατομμύρια δολάρια σε staking ETH μέσω της υποδομής της, καθιστώντας την μια σημαντική πύλη για χρήστες που επιθυμούν έκθεση σε staking Ethereum. Το ακριβές εύρος του επηρεαζόμενου slice παραμένει αβέβαιο μέχρι η MetaMask να παράσχει περισσότερες πληροφορίες.
Τι σημαίνει για τους χρήστες και τους κατόχους stETH
Για τους κατόχους stETH, του token που αντιπροσωπεύει το ETH που έχει ποντάρει μέσω του Lido και τις συσσωρευμένες ανταμοιβές του, το μήνυμα του Lido ήταν σαφές: δεν απαιτείται καμία ενέργεια. Το πρωτόκολλο κατανέμει το staking σε πολλούς χειριστές, επομένως η έκθεση στους επικυρωτές ενός χειριστή δεν είναι η ίδια με την κατοχή άμεσης θέσης σε αυτόν τον χειριστή. Το ETH που συνδέεται με τους επηρεαζόμενους επικυρωτές αναμένεται να επιστρέψει σταδιακά καθώς η διαδικασία εξόδου, ανάληψης και επανεισόδου συνεχίζεται. Στους κατόχους stETH έχει ειπωθεί ότι δεν χρειάζεται να εξαργυρώσουν ή να μετακινήσουν τίποτα.
Για τους καθημερινούς χρήστες πορτοφολιών MetaMask, η θέση της εταιρείας παραμένει επίσης αμετάβλητη. Αναφέρει ότι δεν έχει εντοπίσει άμεση απειλή για τα πορτοφόλια και δεν έχει ζητήσει από τους χρήστες να μεταφέρουν περιουσιακά στοιχεία. Αυτό δεν καθιστά το περιστατικό άσχετο. Υπογραμμίζει πόσο μεγάλο μέρος της οικονομίας staking του Ethereum εξαρτάται από λειτουργικές υποδομές που βρίσκονται εκτός των βασικών κανόνων του blockchain. Ένας πάροχος μπορεί να κρατήσει τα κλειδιά ανάληψης μακριά από τα δικά του χέρια και παρόλα αυτά να αποφασίσει να θέσει σε παύση τους επικυρωτές όταν εντοπίσει κάτι περίεργο. Η ασφάλεια στο staking δεν αφορά μόνο το πρωτόκολλο. Αφορά επίσης τα μηχανήματα και τα διαπιστευτήρια που χρησιμοποιούνται για την εκτέλεσή του.
Τα επόμενα χρήσιμα ορόσημα είναι η ολοκλήρωση των εξόδων των επικυρωτών γύρω στις 7 Οκτωβρίου και η πραγματική διάρκεια του κύκλου ανάληψης και επανεισόδου. Εάν η διαδικασία παραμείνει εντός του εκτιμώμενου παραθύρου των 45 ημερών, το άμεσο κόστος είναι κυρίως οι χαμένες ανταμοιβές και η λειτουργική διακοπή. Εάν νέες λεπτομέρειες αποκαλύψουν βαθύτερη πρόσβαση, η αξιολόγηση θα μπορούσε να αλλάξει. Προς το παρόν, τα δημόσια αρχεία δείχνουν μια επιφυλακτική αντίδραση, μια μικρή επιβεβαιωμένη εκτροπή ανταμοιβών και μια μεγάλη αλλά μη επιβεβαιωμένη εκτίμηση των επικυρωτών που αποχωρούν. Δεν υπάρχει επιβεβαιωμένη απώλεια πορτοφολιών χρηστών ή κεφαλαίου που έχει στοιχηματιστεί σε αυτό το στάδιο.
Το επεισόδιο αυτό αποτελεί υπενθύμιση ότι οι μεγάλες υπηρεσίες staking μπορούν να δράσουν γρήγορα όταν η υποδομή φαίνεται ύποπτη, ακόμη και πριν η πλήρης εικόνα είναι σαφής. Η MetaMask επέλεξε να τερματίσει τους επηρεαζόμενους επικυρωτές και να απορροφήσει τον χρόνο διακοπής λειτουργίας αντί να περιμένει για βεβαιότητα. Η Lido ενημέρωσε τους κατόχους stETH χωρίς να τους ζητήσει να παρέμβουν. Τα ευρήματα ενός ερευνητή στην αλυσίδα έχουν παράσχει τα πιο συγκεκριμένα στοιχεία μέχρι στιγμής, ενώ η εξήγηση της ίδιας της MetaMask παραμένει ελλιπής. Οι χρήστες μπορούν να συνεχίσουν να παρακολουθούν τις επίσημες ενημερώσεις, αλλά τα τρέχοντα γεγονότα δεν υποστηρίζουν τον πανικό. Η βασική διάκριση είναι μεταξύ ενός ζητήματος ασφάλειας στην υποδομή staking και της ασφάλειας των συνηθισμένων πορτοφολιών MetaMask.
