- MetaMask „Lido“ pašalina paveiktus „Ethereum“ validatorius kaip atsargumo priemonę, kai dalyje savo infrastruktūros aptiko saugumo problemą.
- Bendrovė teigia, kad turi nėra tiesioginių pavojaus ženklų į „MetaMask“ pinigines ir neprašė vartotojų pervesti lėšų.
- Tyrėjas pastebėjo apie 0.36 XNUMX ETH blokinių atlygių, išsiųstų netikėtu adresu; 17 000 patvirtintojų ir 523 000 ETH skaičiavimai lieka nepatvirtinti.
- „Lido“ tikisi, kad paskutiniai paveikti validatoriai pasitrauks iki Spalis 7, o visiškas pasitraukimas ir pakartotinis įėjimas gali užtrukti apie 45 dienas.
„MetaMask“ susidūrė su saugumo problema, kuri paliečia dalį jos „Ethereum“ steikingo paslaugos infrastruktūros, ir bendrovė pradėjo šalinti paveiktus validatorius kaip apsaugos priemonę . Piniginės teikėja teigia, kad šis žingsnis yra atsargumo priemonė. Remiantis viešai paskelbta informacija, ji nepastebėjo nieko, kas rodytų tiesioginį pavojų įprastoms „MetaMask“ piniginėms. Šis skirtumas yra svarbus, nes problema slypi steikingo operacijose, o ne piniginės programinėje įrangoje, kurią dauguma žmonių naudoja žetonams laikyti.
Bendrovė pirmą kartą situaciją aprašė trečiadienį, teigdama, kad nuolatinę grėsmę sprendžia pačios įmonės viduje, pasitelkdama išorės saugumo partnerius ir patarėjus. Ji neįvardijo pažeistos sistemos, nepaaiškino, kaip buvo gauta prieiga, ir nenurodė tikslaus dalyvavusių patvirtintojų skaičiaus. Kol kas pagrindinė žinia vartotojams yra ta, kad niekas nebuvo prašomas pervesti lėšų ar keisti nustatymų . Toks ramus gairių laikymasis yra naudingas, tačiau jis taip pat palieka daug atvirų techninių klausimų.
„MetaMask“ teigia, kad piniginėms iš karto negresia pavojus
Savo atnaujinime „MetaMask“ incidentą įvardijo kaip paveikiantį dalį jos pačios infrastruktūros, o ne pinigines, kurias kontroliuoja vartotojai. Bendrovė teigė, kad nenustatė tiesioginės grėsmės „MetaMask“ piniginėms – šis teiginys buvo pakartotas keliose ataskaitose. Tuo pačiu metu ji vengė teigti, kad byla yra visiškai baigta. Tyrimas vis dar vyksta ir tikimasi daugiau informacijos, kai bendrovė sužinos, kas įvyko.
Tokia formuluotė palieka erdvės niuansams. Saugumo incidentas didelėje piniginių paslaugų teikėjo įmonėje gali skambėti nerimą keliančiai, tačiau rizikos profilis priklauso nuo to, kurios sistemos buvo paliestos. „MetaMask“ pabrėžė, kad jos staking operacijos nėra susijusios su saugojimu ir kad ji netvarko klientų deleguotų ETH išėmimo raktų. Paprastai tariant, įmonė gali valdyti aparatus, kurie patvirtina operacijas, o vartotojai atskirai kontroliuoja, kur galima išsiimti jų staking monetas. Šis atskyrimas yra pagrindinė priežastis, kodėl bendrovė teigia, kad piniginėms nekyla tiesioginė grėsmė.
Vis dėlto detalių trūkumas nuvylė tuos, kurie nori aiškaus vaizdo. „MetaMask“ nenurodė, ar problema buvo susijusi su pažeidžiamumu, neteisėta prieiga ar kitokio tipo veikimo sutrikimu. Ji taip pat nepatvirtino, kiek validatorių buvo paveikta ir ar buvo paviešinti kokie nors vartotojų duomenys . Vartotojams praktinis patarimas paprastas: laikykitės oficialių kanalų, ignoruokite skubius pranešimus, kuriuose prašoma įvesti pirminius raktinius žodžius, ir atsargiai vertinkite socialinių tinklų gandus. Sukčiavimo bandymai dažnai seka po tikrų saugumo naujienų, todėl nepageidaujami įspėjimai gali būti tokie pat pavojingi, kaip ir pradinis incidentas.
Validatoriai išeina per Lido kaip atsargumo priemonė
Atsakas tampa labiau matomas steikingo pusėje. „Lido“, likvidaus steikingo protokolas, veikiantis su keliais mazgų operatoriais, teigė, kad „MetaMask Staking“ pradėjo imtis atsargumo priemonių, siekdama apsaugoti klientų turtą, susietą su jos valdomais „Ethereum“ validatoriais. Šie validatoriai trečiadienį pradėjo palikti „Lido“ sistemą. „MetaMask Portfolio“ siūlo steikingą per bendrą steikingą, validatorių steikingą ir likvidų steikingą per „Lido“ ir „Rocket Pool“, todėl išėjimas taikomas konkrečiai paveiktoms operacijoms, o ne visų steikingo maršrutų uždarymui. Veiksmas nukreiptas į „MetaMask“ valdomus validatorius, o ne į visą „Ethereum“.
„Lido“ teigė, kad paskutiniai paveikti validatoriai turėtų užbaigti savo išėjimą iki spalio 7 d., tačiau ši data nereiškia, kad ETH iš karto vėl veiks. Visas ciklas apima išėjimą, išėmimą ir pakartotinį įėjimą į steikingo rinkinį. Kadangi „Ethereum“ turi eilę naujiems validatoriams, ši kelionė pirmyn ir atgal gali trukti apie 45 dienas. „Lido Finance“ kūrėjas Willas Shannonas paaiškino, kad „MetaMask“ valdomų validatorių ETH prie protokolo grįš palaipsniui, kai kiekvienas validatorius baigs procesą. Per šį laikotarpį paveikti validatoriai nustos teikti įprastus steikingo atlygius.
Taip pat kyla baudos rizika, jei validatoriai atsijungia prieš užbaigdami savo išėjimą. Tai nereiškia, kad įvyko duomenų mažinimo įvykis. Duomenų mažinimas yra daug griežtesnė bausmė, taikoma, kai validatoriai pažeidžia konsensuso taisykles, pavyzdžiui, pasirašo prieštaringus blokus. Nei „MetaMask“, nei „Lido“ nepranešė apie duomenų mažinimą. Jie apibūdino tai kaip atsargumo priemonę – išėjimą ir laikiną pajamų praradimą, kol validatoriai neveikia. Čia svarbus skirtumas tarp prarasto atlygio ir prarastos pagrindinės sumos.
Mažas atlygio nukreipimas, dideli nepatvirtinti įvertinimai
Tyrėjas, žinomas kaip Kadenas, suteikė incidentui konkretesnę formą, analizuodamas aktyvumą grandinėje. Remiantis šia analize, 18 iš 19 „MetaMask“ valdomų validatorių, gavusių blokų gamybos mokėjimus, šiuos atlygius išsiuntė netikėtu adresu. Apskaičiuota suma buvo apie 0.36 ETH – nedidelė suma doleriais, palyginti su statymo operacijos dydžiu. Šis atradimas yra mažiau svarbus dėl panaudotų pinigų sumos, o labiau dėl to, ką jis leidžia manyti: kažkas galėjo pakeisti su validatorių atlygiais susietus nustatymus . Tokia prieiga gali nukreipti pajamas neliečiant statymo pagrindinės sumos.
Techninis skirtumas padeda paaiškinti iki šiol praneštą ribotą žalą. „Ethereum“ leidžia operatoriams nustatyti mokesčio gavėjo adresą sandorių mokesčiams ir blokuoti atlygius, atskirai nuo išėmimo duomenų, kurie valdo patį įkeistą ETH. Jei užpuolikas pakeičia tik mokesčio gavėją, jis gali nukreipti gaunamus atlygius. Jis negali tiesiog perkelti pradinės įkeistos sumos. Rimtesnis scenarijus būtų susijęs su pasirašymo raktais, kurie leistų kenkėjiškam veikėjui priversti pateikti prieštaringus patvirtinimus ir sukelti duomenų nuplėšimą. Toks rezultatas nebuvo patvirtintas. Kol kas vieši įrodymai rodo nukreiptus atlygius, o ne pavogtus indėlius.
Kadenas taip pat apskaičiavo, kad atsargumo sumetimais buvo susiję maždaug 17 000 validatorių ir apie 523 000 ETH. „MetaMask“ viešai nepatvirtino šių skaičių. Todėl juos geriausia laikyti išoriniu įvertinimu, pagrįstu matomais tinklo duomenimis, o ne oficialiu įmonės skaičiumi. Mastelis vis dar pastebimas. „MetaMask“ svetainėje teigiama, kad per savo infrastruktūrą ji valdo daugiau nei 3 mlrd. JAV dolerių vertės ETH steikingą informaciją, todėl tai yra pagrindiniai vartai vartotojams, norintiems susipažinti su Ethereum steikingu. Tiksli paveiktos dalies apimtis lieka neaiški, kol „MetaMask“ nepateiks daugiau informacijos.
Ką tai reiškia vartotojams ir stETH turėtojams
„stETH“ – žetono, reiškiančio per „Lido“ įkeistą ETH ir sukauptą atlygį, – turėtojams „Lido“ žinia buvo paprasta: jokių veiksmų nereikia imtis. Protokolas paskirsto įkeidavimą tarp daugelio operatorių, todėl sąlytis su vieno operatoriaus validatoriais nėra tas pats, kas tiesioginės pozicijos turėjimas pas tą operatorių. Tikimasi, kad su paveiktais validatoriais susietas ETH palaipsniui grįš, vykstant išėjimo, išėmimo ir pakartotinio įėjimo procesui. „stETH“ turėtojams buvo pasakyta, kad jiems nereikia nieko išpirkti ar perkelti.
Kasdieniams „MetaMask“ piniginės naudotojams bendrovės pozicija taip pat nepasikeitė. Ji teigia, kad nerado tiesioginės grėsmės piniginėms ir neprašė vartotojų perkelti turto. Tai nereiškia, kad incidentas yra nereikšmingas. Tai pabrėžia, kiek „Ethereum“ steikingo ekonomikos priklauso nuo veikiančios infrastruktūros, kuri neatitinka pagrindinių blokų grandinės taisyklių. Teikėjas gali laikyti išėmimo raktus sau nepavaldžius ir vis tiek nuspręsti pristabdyti validatorius, kai aptinka ką nors keisto. Steikingo saugumas susijęs ne tik su protokolu; jis taip pat susijęs su mašinomis ir prisijungimo duomenimis, naudojamais jam vykdyti.
Kiti naudingi etapai yra validatorių išėjimo iš sistemos užbaigimas apie spalio 7 d. ir faktinė išėmimo ir pakartotinio įėjimo ciklo trukmė. Jei procesas neviršys numatyto 45 dienų laikotarpio, tiesioginės išlaidos daugiausia bus negauti atlygiai ir veiklos sutrikimai. Jei nauja informacija atskleis gilesnę prieigą, vertinimas gali pasikeisti. Šiuo metu vieši įrašai rodo atsargų atsaką, nedidelį patvirtintą atlygio nukreipimą ir didelį, bet nepatvirtintą patvirtintojų išėjimo į sistemą įvertį. Šiame etape nėra patvirtintų vartotojų piniginių ar įkeistos pagrindinės sumos praradimo.
Šis epizodas primena, kad didelės steikingo paslaugos gali greitai reaguoti, kai infrastruktūra atrodo įtartina, net ir dar nesusidarius visai situacijai. „MetaMask“ pasirinko pasitraukti iš paveiktų validatorių ir sušvelninti prastovų laiką, užuot laukusi tikrumo. „Lido“ nuolat informavo „stETH“ turėtojus, neprašydama jų įsikišti. Tyrėjo atlikti grandinės tyrimai pateikė iki šiol konkrečius įrodymus, o paties „MetaMask“ paaiškinimas lieka neišsamus. Vartotojai gali toliau stebėti oficialius atnaujinimus, tačiau dabartiniai faktai nepadeda kelti panikos. Pagrindinis skirtumas yra tarp saugumo problemos steikingo infrastruktūroje ir įprastų „MetaMask“ piniginių saugumo.
