- MetaMask Lidoは、インフラストラクチャの一部にセキュリティ上の問題が見つかったことを受け、予防措置として、影響を受けたイーサリアムバリデーターをLidoから撤退させる。
- 会社はそれが持っていると言います 差し迫った危険の兆候はない MetaMaskウォレットに移行しており、ユーザーに資金の移動を求めていません。
- 研究者が発見した 約0.36ETH ブロック報酬が予期しないアドレスに送られた。17,000人のバリデーターと523,000 ETHという推定値は未確認のままだ。
- Lidoは、影響を受ける最後のバリデーターが退出することを想定しています。 10月7完全な撤退と再参入には、およそ45日かかる可能性がある。
MetaMaskは、イーサリアムステーキングサービスのインフラストラクチャの一部に影響を与えるセキュリティ問題に直面しており、安全対策として影響を受けたバリデーターをオフラインにする措置を開始した。ウォレットプロバイダーである同社は、この措置は予防的なものだと述べている。公開されたアップデートによると、通常のMetaMaskウォレットに差し迫った危険を示すものは何も見つかっていないという。この点は重要だ。なぜなら、問題はトークンを保管するために多くの人が使用するウォレットソフトウェアではなく、ステーキング操作にあるからだ。
同社は水曜日に初めてこの状況を説明し、進行中の脅威に社内で対処するとともに、外部のセキュリティパートナーやアドバイザーを招集していると述べた。侵害されたシステム名やアクセス方法、関与したバリデーターの正確な人数については明らかにしなかった。現時点でユーザーへの主なメッセージは、資金の移動や設定の変更を求められた人はいないということだ。こうした冷静な対応は役立つものの、技術的な疑問点は数多く残されている。
MetaMaskはウォレットが直ちに危険にさらされることはないと述べています
MetaMaskは最新情報の中で、今回の事態はユーザーが管理するウォレットではなく、自社のインフラの一部に影響を及ぼした問題であると説明した。同社は、MetaMaskウォレットに対する差し迫った脅威は確認されていないと述べており、この点は複数の報道でも繰り返し述べられている。同時に、同社は問題が完全に解決したとは明言を避けた。調査は現在も継続中で、事態の解明が進むにつれて、より詳細な情報が提供される見込みだ。
その表現にはニュアンスの余地がある。大手ウォレットプロバイダーでのセキュリティインシデントは不安を煽るかもしれないが、リスクプロファイルはどのシステムが影響を受けたかによって異なる。MetaMaskは、ステーキング業務は非カストディアルであり、顧客が委任したETHの引き出しキーを管理していないことを強調している。簡単に言えば、同社はトランザクションを検証するマシンを運用しているが、ユーザーはステーキングしたコインの引き出し先を別途管理している。この分離こそが、同社がウォレットが差し迫った脅威に直面していないと述べている理由の中核をなしている。
しかし、詳細が不明なため、明確な状況把握を望む人々は不満を抱いている。MetaMaskは、今回の問題が脆弱性、不正アクセス、あるいはその他の運用上の障害によるものだったのかどうかを明らかにしていない。また、影響を受けたバリデーターの数や、ユーザーデータが漏洩したかどうかも確認していない。ユーザーへの実用的なアドバイスはシンプルだ。公式チャンネルを利用し、シードフレーズを要求する緊急メッセージは無視し、ソーシャルメディア上の噂には注意を払うべきだ。フィッシング詐欺はしばしば実際のセキュリティニュースに続いて発生するため、一方的な警告は実際の事件と同じくらい危険な場合がある。
バリデーターは予防措置としてLido経由で退出する
ステーキングの側面では、対応がより明確になります。複数のノードオペレーターと連携するリキッドステーキングプロトコルであるLidoは、MetaMask Stakingが、同社が運営するイーサリアムバリデーターに関連付けられた顧客資産を保護するための予防措置を開始したと述べました。これらのバリデーターは水曜日にLidoのシステムから離脱し始めました。MetaMask Portfolioは、プールステーキング、バリデーターステーキング、LidoとRocket Poolを介したリキッドステーキングを通じてステーキングを提供しているため、離脱はすべてのステーキングルートを一律に停止するのではなく、影響を受ける運用に特化しています。この措置は、イーサリアム全体ではなく、MetaMaskが運営するバリデーターを対象としています。
Lidoは、影響を受けた最後のバリデーターは10月7日までに退出を完了するはずだと述べたが、その日付はETHがすぐに再び稼働することを意味するものではない。完全なサイクルには、退出、引き出し、ステーキングセットへの再参加が含まれる。イーサリアムには新しいバリデーターのキューがあるため、この往復には約45日かかる可能性がある。Lido Financeの開発者であるWill Shannonは、MetaMaskが運営するバリデーターからのETHは、各バリデーターがプロセスを完了するにつれて徐々にプロトコルに戻ると説明した。このギャップの間、影響を受けたバリデーターは通常のステーキング報酬の生成を停止する。
バリデーターが退出完了前にオフラインになった場合、ペナルティのリスクもあります。これはスラッシングが発生したことを意味するものではありません。スラッシングは、バリデーターがコンセンサスルールに違反した場合（例えば、矛盾するブロックに署名した場合など）に適用される、はるかに厳しい罰則です。MetaMaskもLidoも、スラッシングが発生したとは報告していません。彼らが説明しているのは、予防的な退出と、バリデーターがサービスを停止している間の一時的な収入の損失です。ここで重要なのは、失われた報酬と失われた元本の違いです。
少額の報酬流用、巨額の未確認推定
Kadenという名の研究者は、オンチェーンのアクティビティを分析することで、この事件をより具体的に明らかにした。その分析によると、ブロック生成報酬を受け取ったMetaMaskが運営する19のバリデーターのうち18が、その報酬を予期せぬアドレスに送金していた。推定金額は約0.36 ETHで、ステーキングの規模に比べればドル換算では少額である。この発見は、金額そのものよりも、それが示唆する内容の方が重要である。つまり、誰かがバリデーター報酬に関連する設定を変更できたということだ。このようなアクセス権があれば、ステーキングされた元本に触れることなく、収入を別の方向に振り向けることができる。
技術的な違いが、これまでに報告されている被害が限定的である理由を説明するのに役立ちます。イーサリアムでは、オペレーターが取引手数料とブロック報酬の受取人アドレスを、ステーキングされたETH自体を制御する引き出し認証情報とは別に設定できます。攻撃者が受取人アドレスだけを変更した場合、進行中の報酬を流用できます。元のステーキングを単純に移動することはできません。より深刻なシナリオとしては、鍵の署名に関わるものがあり、悪意のある人物が矛盾する認証を強制し、スラッシングを引き起こす可能性があります。しかし、そのような結果は確認されていません。これまでのところ、公開されている証拠は、盗まれた預金ではなく、流用された報酬を示しています。
Kaden氏はまた、予防措置として行われた撤退には約17,000人のバリデーターと約523,000 ETHが関係していると推定した。MetaMaskはこれらの数字を公式には確認していない。したがって、これらは公式の企業数値ではなく、目に見えるネットワークデータに基づく外部推定値として扱うのが適切である。それでもその規模は注目に値する。MetaMaskのウェブサイトによると、同社はインフラストラクチャを通じて3億ドル以上のETHステーキングを管理しており、イーサリアムステーキングへのエクスポージャーを求めるユーザーにとって主要なゲートウェイとなっている。MetaMaskがさらに情報を提供するまで、影響を受けたスライスの正確な範囲は不明のままである。
ユーザーとstETH保有者にとっての意味
Lidoを通じてステーキングされたETHとその累積報酬を表すトークンであるstETHの保有者に対して、Lidoからのメッセージは簡潔明瞭でした。何もする必要はありません。このプロトコルはステーキングを多くのオペレーターに分散させているため、1つのオペレーターのバリデーターにエクスポージャーを持つことは、そのオペレーターに直接ポジションを持つこととは異なります。影響を受けたバリデーターに紐づけられたETHは、出口、引き出し、再エントリーのプロセスが完了するにつれて徐々に戻ってくると予想されます。stETH保有者は、何も償還したり移動したりする必要はないと伝えられています。
MetaMaskウォレットの一般ユーザーにとって、同社の立場も変わっていません。ウォレットに対する差し迫った脅威は見つかっておらず、ユーザーに資産の移動を求めていないと述べています。しかし、だからといってこの事件が無関係になるわけではありません。この事件は、イーサリアムのステーキング経済が、ブロックチェーンの中核ルールから外れた運用インフラストラクチャにどれほど依存しているかを浮き彫りにしています。プロバイダーは引き出しキーを自らの手元から遠ざけ、何か異常を検知した際にバリデーターを一時停止することを決定できます。ステーキングにおけるセキュリティは、プロトコルだけでなく、それを実行するために使用されるマシンと認証情報にも関係しているのです。
次に重要な節目は、10月7日頃のバリデーターの退出完了と、実際の引き出しと再参入のサイクル期間です。プロセスが推定45日以内に完了すれば、当面の損失は主に報酬の損失と運用の中断にとどまります。新たな詳細によってより深いアクセスが明らかになれば、評価は変わる可能性があります。現時点では、公開されている記録によると、慎重な対応、少額の報酬流用が確認されており、バリデーターの退出数は多いものの未確認です。現段階では、ユーザーウォレットやステーキングされた元本の損失は確認されていません。
今回の出来事は、大規模なステーキングサービスが、状況が完全に明らかになる前であっても、インフラに疑わしい点が見られた場合に迅速に対応できることを改めて示しています。MetaMaskは、確実な結果を待つのではなく、影響を受けたバリデーターを撤退させ、ダウンタイムを吸収することを選択しました。Lidoは、stETH保有者に介入を求めることなく、情報を提供し続けています。これまでのところ、研究者のオンチェーン調査結果が最も具体的な証拠を提供していますが、MetaMask自身の説明はまだ不完全です。ユーザーは引き続き公式アップデートを監視できますが、現在の事実からパニックになる必要はありません。重要な問題は、ステーキングインフラのセキュリティ問題と、通常のMetaMaskウォレットの安全性との間の対立です。
