- MetaMask iz predostrožnosti isključuje pogođene Ethereum validatore iz Lida nakon što je pronašao sigurnosni problem u dijelu svoje infrastrukture.
- Tvrtka tvrdi da ima nema neposrednih znakova opasnosti na MetaMask novčanike i nije tražio od korisnika da premjeste sredstva.
- Istraživač je uočio oko 0.36 ETH-a u nagradama za blokove poslanim na neočekivanu adresu; procjene o 17 000 validatora i 523 000 ETH-a ostaju nepotvrđene.
- Lido očekuje da će posljednji pogođeni validatori izaći do Listopada 7, s potpunim povlačenjem i ponovnim ulaskom koji bi mogao trajati oko 45 dana.
MetaMask se suočio sa sigurnosnim problemom koji se tiče dijela infrastrukture iza njihove usluge ulaganja Ethereuma, te je tvrtka počela uklanjati pogođene validatore s mreže kao mjeru zaštite . Pružatelj novčanika kaže da je ovaj potez preventivni. Prema njihovom javnom ažuriranju, nisu vidjeli ništa što bi ukazivalo na neposrednu opasnost za obične MetaMask novčanike. Ta je razlika važna jer problem leži u operacijama ulaganja, a ne u softveru novčanika koji većina ljudi koristi za držanje tokena.
Tvrtka je prvo opisala situaciju u srijedu, rekavši da interno rješava stalnu prijetnju, a istovremeno angažira vanjske sigurnosne partnere i savjetnike. Nije imenovala kompromitirani sustav, objasnila kako je dobiven pristup niti dala točan broj uključenih validatora. Zasad je glavna poruka korisnicima da nitko nije zamoljen da prebaci sredstva ili promijeni postavke . To smireno vodstvo je korisno, ali također ostavlja mnoga tehnička pitanja otvorenima.
MetaMask tvrdi da novčanici nisu odmah u opasnosti
U svom ažuriranju, MetaMask je incident opisao kao nešto što utječe na dio vlastite infrastrukture, a ne na novčanike koje korisnici kontroliraju. Tvrtka je izjavila da nije identificirala neposrednu prijetnju MetaMask novčanicima, što je ponovljeno u nekoliko izvješća. Istovremeno, izbjegla je reći da je slučaj u potpunosti zatvoren. Istraga je još uvijek u tijeku, a očekuje se više detalja kada tvrtka sazna što se dogodilo.
Ta formulacija ostavlja prostora za nijanse. Sigurnosni incident kod glavnog pružatelja usluga novčanika može zvučati alarmantno, ali profil rizika ovisi o tome koji su sustavi dotaknuti. MetaMask je naglasio da njegove operacije ulaganja nisu skrbničke i da ne upravlja ključevima za isplatu ETH-a delegiranih od strane klijenata. Jednostavno rečeno, tvrtka može upravljati strojevima koji potvrđuju transakcije, dok korisnici zadržavaju odvojenu kontrolu nad time gdje se njihovi uloženi novčići mogu povući. Ta odvojenost je ključna za razlog zašto tvrtka kaže da novčanici nisu suočeni s neposrednom prijetnjom.
Ipak, nedostatak detalja frustrirao je ljude koji žele jasnu sliku. MetaMask nije rekao je li problem uključivao ranjivost, neovlašteni pristup ili neku drugu vrstu operativnog kvara. Također nije potvrdio koliko je validatora pogođeno ili jesu li neki korisnički podaci bili izloženi . Za korisnike, praktičan savjet je jednostavan: držite se službenih kanala, ignorirajte hitne poruke koje traže početne fraze i s oprezom tretirajte glasine na društvenim mrežama. Pokušaji krađe identiteta često slijede nakon stvarnih sigurnosnih vijesti, pa neželjena upozorenja mogu biti jednako opasna kao i izvorni incident.
Validatori izlaze kroz Lido kao mjera opreza
Strana priče koja se odnosi na ulaganje je mjesto gdje odgovor postaje vidljiviji. Lido, protokol za likvidno ulaganje koji radi s više operatora čvorova, rekao je da je MetaMask Staking počeo poduzimati mjere opreza kako bi zaštitio imovinu klijenata vezanu za Ethereum validatore koje upravlja. Ti validatori su u srijedu počeli napuštati Lidov sustav. MetaMask Portfolio nudi ulaganje putem združenog ulaganja, ulaganja validatora i likvidnog ulaganja putem Lidoa i Rocket Poola, tako da je izlazak specifičan za pogođene operacije, a ne potpuno gašenje svake rute ulaganja. Akcija je usmjerena na validatore koje MetaMask pokreće, a ne na Ethereum u cjelini.
Lido je rekao da bi posljednji pogođeni validatori trebali dovršiti svoj izlazak do 7. listopada, ali taj datum ne znači da će se ETH odmah vratiti u akciju. Puni ciklus uključuje izlazak, povlačenje i ponovni ulazak u skup za ulaganje. Budući da Ethereum ima red za nove validatore, to kružno putovanje moglo bi trajati oko 45 dana. Will Shannon, programer u Lido Financeu, objasnio je da će se ETH iz validatora kojima upravlja MetaMask postupno vraćati u protokol kako svaki validator završava proces. Tijekom tog razdoblja, pogođeni validatori prestaju proizvoditi normalne nagrade za ulaganje.
Također postoji rizik od kazne ako validatori prestanu s radom prije nego što je njihov izlaz završen. To ne znači da se dogodio događaj "slashinga". "Slashing" je mnogo stroža kazna koja se koristi kada validatori prekrše pravila konsenzusa, poput potpisivanja konfliktnih blokova. Ni MetaMask ni Lido nisu izvijestili da se dogodio "slashing". Ono što su opisali je preventivni izlaz i privremeni gubitak prihoda dok su validatori izvan funkcije. Razlika između izgubljenih nagrada i izgubljene glavnice ovdje je važna.
Malo preusmjeravanje nagrada, velike nepotvrđene procjene
Istraživač poznat kao Kaden dao je incidentu konkretniji oblik analizirajući aktivnost na lancu. Prema toj analizi, 18 od 19 validatora kojima upravlja MetaMask, a koji su primili uplate za proizvodnju blokova, poslali su te nagrade na neočekivanu adresu. Procijenjeni iznos bio je oko 0.36 ETH, što je mali iznos u dolarima u usporedbi s veličinom operacije ulaganja. Nalaz je manje važan zbog novca koji je u pitanju, a više zbog onoga što sugerira: netko je imao mogućnost promijeniti postavku vezanu uz nagrade validatora. Takav pristup može preusmjeriti prihod bez dodirivanja glavnice ulaganja.
Tehnička razlika pomaže objasniti ograničenu štetu koja je do sada prijavljena. Ethereum omogućuje operaterima postavljanje adrese primatelja naknada za transakcijske naknade i blokiranje nagrada, odvojeno od vjerodajnica za isplatu koje kontroliraju sam uplaćeni ETH. Ako napadač promijeni samo primatelja naknade, može preusmjeriti tekuće nagrade. Ne može jednostavno premjestiti izvorni ulog. Ozbiljniji scenarij uključivao bi potpisivanje ključeva, što bi zlonamjernom akteru moglo omogućiti prisilno proturječenje ovjera i pokretanje slashinga. Takav ishod nije potvrđen. Javni dokazi do sada ukazuju na preusmjerene nagrade, a ne na ukradene depozite.
Kaden je također procijenio da su preventivni izlasci uključivali otprilike 17,000 validatora i oko 523,000 ETH-a. MetaMask nije javno potvrdio te brojke. Stoga ih je najbolje tretirati kao vanjsku procjenu temeljenu na vidljivim mrežnim podacima, a ne kao službeni podatak tvrtke. Razmjeri su i dalje značajni. Web stranica MetaMaska navodi da upravlja s više od 3 milijarde dolara u ETH ulaganju putem svoje infrastrukture, što ga čini glavnim ulazom za korisnike koji žele biti izloženi ulaganju Ethereuma. Točan opseg pogođenog dijela ostaje neizvjestan dok MetaMask ne pruži više informacija.
Što to znači za korisnike i vlasnike stETH-a
Za vlasnike stETH-a, tokena koji predstavlja ETH uložen putem Lida i njegove akumulirane nagrade, Lidova poruka bila je jednostavna: nije potrebna nikakva akcija. Protokol raspoređuje ulaganje na mnoge operatere, tako da izloženost validatorima jednog operatera nije isto što i držanje izravne pozicije u tom operateru. Očekuje se da će se ETH vezan za pogođene validatore postupno vraćati kako proces izlaska, povlačenja i ponovnog ulaska bude odmicao. Vlasnicima stETH-a rečeno je da ne moraju ništa otkupljivati ili premještati.
Za svakodnevne korisnike MetaMask novčanika, stav tvrtke također je nepromijenjen. Tvrdi da nije pronašla neposrednu prijetnju novčanicima i da nije tražila od korisnika da premjeste imovinu. To ne čini incident nebitnim. To ističe koliko Ethereumova ekonomija ulaganja ovisi o operativnoj infrastrukturi koja se nalazi izvan osnovnih pravila blockchaina. Pružatelj usluga može zadržati ključeve za isplatu izvan svojih ruku i dalje odlučiti pauzirati validatore kada otkrije nešto neobično. Sigurnost ulaganja nije samo stvar protokola; ona se odnosi i na strojeve i vjerodajnice koje se koriste za njegovo pokretanje.
Sljedeće korisne prekretnice su dovršetak izlaska validatora oko 7. listopada i stvarno trajanje ciklusa povlačenja i ponovnog ulaska. Ako proces ostane unutar procijenjenog prozora od 45 dana, neposredni trošak su uglavnom propuštene nagrade i operativni poremećaji. Ako novi detalji otkriju dublji pristup, procjena bi se mogla promijeniti. Zasad, javni zapisi pokazuju oprezan odgovor, malo potvrđeno preusmjeravanje nagrada i veliku, ali nepotvrđenu procjenu odlaska validatora. U ovoj fazi nema potvrđenog gubitka korisničkih novčanika ili uložene glavnice.
Ova epizoda podsjetnik je da velike usluge ulaganja mogu brzo reagirati kada infrastruktura izgleda sumnjivo, čak i prije nego što je potpuna slika jasna. MetaMask je odlučio zatvoriti pogođene validatore i apsorbirati vrijeme zastoja umjesto da čeka sigurnost. Lido je obavještavao vlasnike stETH-a bez traženja intervencije. Nalazi istraživača na lancu pružili su do sada najspecifičnije dokaze, dok je vlastito objašnjenje MetaMaska i dalje nepotpuno. Korisnici mogu nastaviti pratiti službena ažuriranja, ali trenutne činjenice ne podupiru paniku. Ključna podjela je između sigurnosnog problema u infrastrukturi ulaganja i sigurnosti običnih MetaMask novčanika.
