- MetaMask Lido sta rimuovendo, a titolo precauzionale, i validatori Ethereum interessati dalla sua rete dopo aver riscontrato una vulnerabilità di sicurezza in una parte della sua infrastruttura.
- L'azienda dice di sì nessun segno immediato di pericolo ai portafogli MetaMask e non ha chiesto agli utenti di spostare fondi.
- Un ricercatore ha individuato circa 0.36 ETH nei premi per il blocco inviati a un indirizzo inatteso; le stime di 17,000 validatori e 523,000 ETH rimangono non confermate.
- Lido prevede che gli ultimi validatori interessati usciranno entro Ottobre 7, con un processo completo di ritiro e rientro che potrebbe richiedere circa 45 giorni.
MetaMask si è trovata a dover affrontare un problema di sicurezza che interessa parte dell'infrastruttura alla base del suo servizio di staking di Ethereum, e l'azienda ha iniziato a disattivare i validatori interessati a scopo precauzionale . Il fornitore di wallet afferma che la mossa è precauzionale. Secondo il suo aggiornamento pubblico, non ha riscontrato nulla che indichi un pericolo immediato per i normali wallet MetaMask. Questa distinzione è importante, perché il problema risiede nelle operazioni di staking e non nel software del wallet che la maggior parte degli utenti utilizza per detenere token.
L'azienda ha descritto la situazione per la prima volta mercoledì, affermando di star gestendo internamente una minaccia in corso e di avvalersi della collaborazione di partner e consulenti esterni in materia di sicurezza. Non ha specificato il sistema compromesso, né spiegato come sia stato ottenuto l'accesso, né fornito un numero preciso di validatori coinvolti. Per ora, il messaggio principale per gli utenti è che a nessuno è stato chiesto di spostare fondi o modificare le impostazioni . Questa rassicurazione è utile, ma lascia aperti molti interrogativi di natura tecnica.
MetaMask afferma che i portafogli non sono immediatamente a rischio
Nel suo aggiornamento, MetaMask ha descritto l'incidente come un problema che ha interessato una parte della propria infrastruttura, non i wallet controllati dagli utenti. L'azienda ha affermato di non aver identificato una minaccia immediata per i wallet MetaMask, un punto ribadito in diverse segnalazioni. Allo stesso tempo, ha evitato di dichiarare la questione completamente chiusa. L'indagine è ancora in corso e si attendono ulteriori dettagli non appena l'azienda avrà maggiori informazioni sull'accaduto.
Questa formulazione lascia spazio a sfumature. Un incidente di sicurezza presso un importante fornitore di wallet può sembrare allarmante, ma il profilo di rischio dipende dai sistemi interessati. MetaMask ha sottolineato che le sue operazioni di staking sono non-custodial e che non gestisce le chiavi di prelievo per gli ETH delegati dai clienti. In parole semplici, l'azienda può gestire i sistemi che convalidano le transazioni, mentre gli utenti mantengono il controllo separato su dove prelevare le proprie monete in staking. Questa separazione è fondamentale per spiegare perché l'azienda afferma che i wallet non sono esposti a una minaccia immediata.
Tuttavia, la mancanza di dettagli ha frustrato chi desidera un quadro chiaro della situazione. MetaMask non ha specificato se il problema sia legato a una vulnerabilità, a un accesso non autorizzato o a un altro tipo di errore operativo. Non ha inoltre confermato quanti validatori siano stati interessati o se siano stati esposti dati degli utenti . Per gli utenti, il consiglio pratico è semplice: attenersi ai canali ufficiali, ignorare i messaggi urgenti che richiedono le frasi di recupero e trattare con cautela le voci diffuse sui social media. I tentativi di phishing spesso seguono notizie di sicurezza reali, quindi gli avvisi non richiesti possono essere pericolosi quanto l' incidente originale.
Per precauzione, i validatori escono attraverso il Lido.
La questione dello staking è dove la risposta diventa più evidente. Lido, un protocollo di staking liquido che funziona con più operatori di nodi, ha dichiarato che MetaMask Staking ha iniziato ad adottare misure precauzionali per proteggere gli asset dei clienti legati ai validatori di Ethereum che gestisce. Questi validatori hanno iniziato ad abbandonare il sistema di Lido mercoledì. MetaMask Portfolio offre lo staking tramite pooled staking, validator staking e liquid staking tramite Lido e Rocket Pool, quindi l'uscita è specifica per le operazioni interessate piuttosto che una chiusura generalizzata di tutte le modalità di staking. L'azione è rivolta ai validatori gestiti da MetaMask, non a Ethereum nel suo complesso.
Lido ha affermato che gli ultimi validatori interessati dovrebbero completare la loro uscita entro il 7 ottobre, ma questa data non significa che l'ETH tornerà immediatamente in circolazione. Il ciclo completo include l'uscita, il prelievo e il rientro nel set di staking. Poiché Ethereum ha una coda per i nuovi validatori, questo ciclo completo potrebbe richiedere circa 45 giorni. Will Shannon, uno sviluppatore di Lido Finance, ha spiegato che l'ETH proveniente dai validatori gestiti da MetaMask tornerà gradualmente nel protocollo man mano che ciascun validatore completa il processo. Durante questo periodo, i validatori interessati smettono di erogare le normali ricompense di staking.
Esiste anche il rischio di penalità se i validatori vanno offline prima che la loro uscita sia completata. Ciò non significa che si sia verificato un evento di slashing. Lo slashing è una punizione molto più severa utilizzata quando i validatori violano le regole di consenso, come ad esempio firmando blocchi in conflitto. Né MetaMask né Lido hanno segnalato casi di slashing. Ciò che hanno descritto è un'uscita precauzionale e una temporanea perdita di guadagno mentre i validatori sono fuori servizio. La differenza tra ricompense perse e capitale perso è importante in questo contesto.
Piccola deviazione delle ricompense, grandi stime non confermate
Un ricercatore noto come Kaden ha dato una forma più concreta all'incidente analizzando l'attività on-chain. Secondo tale analisi, 18 dei 19 validatori gestiti da MetaMask che hanno ricevuto pagamenti per la produzione di blocchi hanno inviato tali ricompense a un indirizzo inatteso. L'importo stimato era di circa 0.36 ETH, una somma esigua in termini di dollari rispetto all'entità dell'operazione di staking. La scoperta è rilevante meno per il denaro coinvolto e più per ciò che suggerisce: qualcuno aveva la possibilità di modificare un'impostazione legata alle ricompense dei validatori. Questo tipo di accesso può reindirizzare i guadagni senza intaccare il capitale messo in staking.
La distinzione tecnica aiuta a spiegare i danni limitati segnalati finora. Ethereum consente agli operatori di impostare un indirizzo per il destinatario delle commissioni di transazione e delle ricompense di blocco, separato dalle credenziali di prelievo che controllano gli ETH messi in staking. Se un aggressore modifica solo il destinatario delle commissioni, può dirottare le ricompense in corso. Non può semplicemente spostare lo staking originale. Uno scenario più grave coinvolgerebbe le chiavi di firma, il che potrebbe consentire a un malintenzionato di forzare attestazioni contrastanti e innescare lo slashing. Nessun esito di questo tipo è stato confermato. Le prove pubbliche finora indicano ricompense dirottate, non depositi rubati.
Kaden ha anche stimato che le uscite precauzionali abbiano coinvolto circa 17,000 validatori e circa 523,000 ETH. MetaMask non ha confermato pubblicamente queste cifre. Pertanto, è meglio considerarle come una stima esterna basata su dati di rete visibili, non come una cifra ufficiale dell'azienda. La portata è comunque notevole. Il sito web di MetaMask afferma di gestire oltre 3 miliardi di dollari in ETH in staking attraverso la sua infrastruttura, il che la rende un importante punto di accesso per gli utenti che desiderano esporsi allo staking di Ethereum. L'esatta portata della porzione interessata rimane incerta fino a quando MetaMask non fornirà ulteriori informazioni.
Cosa significa per gli utenti e i possessori di stETH
Per i possessori di stETH, il token che rappresenta ETH messo in staking tramite Lido e le relative ricompense accumulate, il messaggio di Lido è stato chiaro: non è richiesta alcuna azione. Il protocollo distribuisce lo staking tra molti operatori, quindi l'esposizione ai validatori di un singolo operatore non equivale a detenere una posizione diretta presso tale operatore. Si prevede che ETH legato ai validatori interessati torni gradualmente al termine del processo di uscita, prelievo e rientro. Ai possessori di stETH è stato comunicato che non è necessario riscattare o spostare nulla.
Per gli utenti abituali del wallet MetaMask, la posizione dell'azienda rimane invariata. Afferma di non aver riscontrato minacce immediate per i wallet e di non aver chiesto agli utenti di trasferire i propri asset. Ciò non rende l'incidente irrilevante. Sottolinea quanto l'economia dello staking di Ethereum dipenda da infrastrutture operative che si trovano al di fuori delle regole fondamentali della blockchain. Un fornitore può non avere accesso diretto alle chiavi di prelievo e decidere comunque di sospendere i validatori quando rileva qualcosa di anomalo. La sicurezza nello staking non riguarda solo il protocollo, ma anche le macchine e le credenziali utilizzate per gestirlo.
I prossimi traguardi utili saranno il completamento dell'uscita dei validatori intorno al 7 ottobre e la durata effettiva del ciclo di prelievo e rientro. Se il processo si concluderà entro i 45 giorni stimati, il costo immediato sarà principalmente rappresentato dalle ricompense perse e dalle interruzioni operative. Se nuovi dettagli rivelassero un accesso più esteso, la valutazione potrebbe cambiare. Per ora, i dati pubblici mostrano una risposta cauta, una piccola deviazione di ricompense confermata e una stima elevata, ma non confermata, di validatori che abbandoneranno la piattaforma. Al momento non vi è alcuna perdita confermata di wallet degli utenti o di capitale in staking.
Questo episodio ci ricorda che i grandi servizi di staking possono agire rapidamente quando l'infrastruttura appare sospetta, anche prima che il quadro completo sia chiaro. MetaMask ha scelto di uscire dai validatori interessati e di assorbire il periodo di inattività piuttosto che attendere certezze. Lido ha tenuto informati i possessori di stETH senza chiedere loro di intervenire. Le scoperte di un ricercatore sulla blockchain hanno fornito finora le prove più specifiche, mentre la spiegazione di MetaMask rimane incompleta. Gli utenti possono continuare a monitorare gli aggiornamenti ufficiali, ma i fatti attuali non giustificano il panico. La distinzione fondamentale è tra un problema di sicurezza nell'infrastruttura di staking e la sicurezza dei normali wallet MetaMask.
