- MetaMask piesardzības nolūkos pārtrauc izmantot Lido pakalpojumus, izslēdzot skartos Ethereum validatorus pēc tam, kad daļā savas infrastruktūras ir atrasta drošības problēma.
- Uzņēmums apgalvo, ka tam ir nav tūlītēju briesmu pazīmju uz MetaMask makiem un nav lūdzis lietotājiem pārskaitīt līdzekļus.
- Pētnieks pamanīja aptuveni 0.36 ETH bloku atlīdzības, kas nosūtītas uz negaidītu adresi; aplēses par 17 000 validatoru un 523 000 ETH joprojām nav apstiprinātas.
- Lido sagaida, ka pēdējie ietekmētie validatori aizies līdz Oktobris 7, pilnīga izņemšana un atkārtota ieceļošana, iespējams, aizņems aptuveni 45 dienas.
MetaMask ir saskāries ar drošības problēmu, kas skar daļu no infrastruktūras, kas atrodas aiz tā Ethereum steikošanas pakalpojuma, un uzņēmums ir sācis atvienot skartos validatorus kā drošības pasākumu . Maka pakalpojumu sniedzējs apgalvo, ka šis solis ir piesardzības pasākums. Saskaņā ar publisko atjauninājumu tas nav novērojis neko, kas liecinātu par tūlītējām briesmām parastajiem MetaMask makiem. Šī atšķirība ir svarīga, jo problēma slēpjas steikošanas operācijās, nevis maka programmatūrā, ko lielākā daļa cilvēku izmanto žetonu glabāšanai.
Uzņēmums pirmo reizi aprakstīja situāciju trešdien, sakot, ka tas iekšēji risina pastāvīgu apdraudējumu, vienlaikus piesaistot ārējos drošības partnerus un konsultantus. Tas nenosauca apdraudēto sistēmu, nepaskaidroja, kā tika iegūta piekļuve, un nesniedza precīzu iesaistīto validatoru skaitu. Pagaidām galvenais vēstījums lietotājiem ir tāds, ka nevienam nav lūgts pārskaitīt līdzekļus vai mainīt iestatījumus . Šie mierīgie norādījumi ir noderīgi, taču tie atstāj arī daudz tehnisku jautājumu atklātu.
MetaMask apgalvo, ka maki nav nekavējoties apdraudēti
Savā atjauninājumā MetaMask raksturoja incidentu kā tādu, kas ietekmē daļu no savas infrastruktūras, nevis makus, kurus kontrolē lietotāji. Uzņēmums paziņoja, ka nav konstatējis tiešus draudus MetaMask makiem, un šis apgalvojums tika atkārtots vairākos ziņojumos. Vienlaikus tas izvairījās no apgalvojuma, ka lieta ir pilnībā slēgta. Izmeklēšana joprojām turpinās, un, uzņēmumam uzzinot notikušā apstākļus, tiek gaidīta sīkāka informācija.
Šāds formulējums atstāj vietu niansēm. Drošības incidents lielā maku pakalpojumu sniedzējā var šķist satraucošs, taču riska profils ir atkarīgs no tā, kurām sistēmām tika pieskarts. MetaMask ir uzsvēris, ka tā likmju operācijas nav saistītas ar aizbildnību un ka tas nepārvalda klientu deleģētā ETH izmaksas atslēgas. Vienkārši sakot, uzņēmums var pārvaldīt iekārtas, kas apstiprina darījumus, savukārt lietotāji atsevišķi kontrolē, kur var izņemt viņu likmju monētas. Šī atdalīšana ir galvenais iemesls, kāpēc uzņēmums apgalvo, ka makiem nedraud tieši draudi.
Tomēr detaļu trūkums ir sarūgtinājis cilvēkus, kuri vēlas skaidru priekšstatu. MetaMask nav norādījis, vai problēma bija saistīta ar ievainojamību, neatļautu piekļuvi vai cita veida darbības kļūmi. Tas arī nav apstiprinājis, cik validatoru tika skarti vai vai tika atklāti lietotāju dati . Lietotājiem praktisks padoms ir vienkāršs: pieturēties pie oficiālajiem kanāliem, ignorēt steidzamus ziņojumus, kuros tiek lūgtas ievadfrāzes, un piesardzīgi izturēties pret sociālo mediju baumām. Pikšķerēšanas mēģinājumi bieži vien seko reālām drošības ziņām, tāpēc nevēlami brīdinājumi var būt tikpat bīstami kā sākotnējais incidents.
Validētāji iziet caur Lido kā piesardzības pasākumu
Stāsta steikošanas pusē reakcija kļūst redzamāka. Lido, likvīdās steikošanas protokols, kas darbojas ar vairākiem mezglu operatoriem, paziņoja, ka MetaMask Staking ir sācis veikt piesardzības pasākumus, lai aizsargātu klientu aktīvus, kas saistīti ar tā pārvaldītajiem Ethereum validatoriem. Šie validatori sāka pamest Lido sistēmu trešdien. MetaMask Portfolio piedāvā steikošanu, izmantojot apvienoto steikošanu, validatoru steikošanu un likvīdās steikošanu, izmantojot Lido un Rocket Pool, tāpēc izeja attiecas uz skartajām darbībām, nevis uz visu steikošanas maršrutu pilnīgu slēgšanu. Darbība ir vērsta pret MetaMask pārvaldītajiem validatoriem, nevis pret Ethereum kopumā.
Lido teica, ka pēdējiem skartajiem validatoriem vajadzētu pabeigt savu iziešanu līdz 7. oktobrim, taču šis datums nenozīmē, ka ETH nekavējoties atgriezīsies darbībā. Pilns cikls ietver iziešanu no steikinga kopas, līdzekļu izņemšanu no tās un atkārtotu pievienošanos tai. Tā kā Ethereum ir rinda jauniem validatoriem, šis turp un atpakaļ ceļojums varētu ilgt aptuveni 45 dienas. Vils Šenons, Lido Finance izstrādātājs, paskaidroja, ka ETH no MetaMask darbinātiem validatoriem pakāpeniski atgriezīsies protokolā, katram validatoram pabeidzot procesu. Šajā laikā skartie validatori pārtrauks ģenerēt parastās steikinga atlīdzības.
Pastāv arī soda risks, ja validatori pārstāj darboties pirms to iziešanas pabeigšanas. Tas nenozīmē, ka ir notikusi pārtraukšana. Pārtraukšana ir daudz bargāks sods, ko izmanto, ja validatori pārkāpj konsensa noteikumus, piemēram, paraksta konfliktējošus blokus. Ne MetaMask, ne Lido nav ziņojuši par pārtraukšanu. Viņi ir aprakstījuši piesardzības nolūkos veiktu iziešanu un īslaicīgu ienākumu zaudējumu, kamēr validatori nedarbojas. Šeit ir svarīga atšķirība starp zaudēto atlīdzību un zaudēto pamatsummu.
Neliela atlīdzības novirzīšana, lielas neapstiprinātas aplēses
Pētnieks, kas pazīstams kā Kadens, piešķīra incidentam konkrētāku formu, analizējot aktivitāti ķēdē. Saskaņā ar šo analīzi 18 no 19 MetaMask pārvaldītajiem validatoriem, kas saņēma bloku ražošanas maksājumus, nosūtīja šīs atlīdzības uz negaidītu adresi. Paredzamā summa bija aptuveni 0.36 ETH, kas dolāru izteiksmē ir neliela summa, salīdzinot ar steikošanas operācijas apjomu. Šis atklājums ir mazāk svarīgs iesaistītās naudas dēļ, bet vairāk tāpēc, ko tas liek domāt: kādam bija iespēja mainīt iestatījumu, kas saistīts ar validatora atlīdzībām. Šāda veida piekļuve var novirzīt ienākumus, nepieskaroties steikotajai pamatsummai.
Tehniskā atšķirība palīdz izskaidrot līdz šim ziņoto ierobežoto kaitējumu. Ethereum ļauj operatoriem iestatīt komisijas maksas saņēmēja adresi darījumu komisijas maksām un bloķēt atlīdzības, atsevišķi no izmaksas akreditācijas datiem, kas kontrolē pašu likmi. Ja uzbrucējs maina tikai komisijas maksas saņēmēju, viņš var novirzīt notiekošās atlīdzības. Viņš nevar vienkārši pārvietot sākotnējo likmi. Nopietnāks scenārijs būtu saistīts ar atslēgu parakstīšanu, kas varētu ļaut ļaunprātīgam spēlētājam piespiest konfliktējošas apliecinājumus un izraisīt datu nozagšanu. Šāds iznākums nav apstiprināts. Publiskie pierādījumi līdz šim liecina par novirzītām atlīdzībām, nevis nozagtiem noguldījumiem.
Kadens arī lēsa, ka piesardzības nolūkos veiktās izejas ietvēra aptuveni 17 000 validatoru un aptuveni 523 000 ETH. MetaMask nav publiski apstiprinājis šos skaitļus. Tāpēc tos vislabāk uzskatīt par ārēju aplēsi, kas balstīta uz redzamiem tīkla datiem, nevis oficiālu uzņēmuma skaitli. Mērogs joprojām ir ievērojams. MetaMask tīmekļa vietnē teikts, ka tā pārvalda vairāk nekā 3 miljardus ASV dolāru ETH steikošanas, izmantojot savu infrastruktūru, padarot to par galveno vārteju lietotājiem, kuri vēlas piekļūt Ethereum steikošanas iespējām. Precīzs skartās sektora apmērs joprojām nav skaidrs, līdz MetaMask sniegs vairāk informācijas.
Ko tas nozīmē lietotājiem un stETH turētājiem
stETH turētājiem, kas ir tokens, kas apzīmē ETH, kas ieguldīts caur Lido, un tā uzkrātās atlīdzības, Lido vēstījums bija vienkāršs: nav nepieciešama nekāda rīcība. Protokols sadala ieguldīšanu starp daudziem operatoriem, tāpēc iedarbība viena operatora validatoriem nav tas pats, kas tiešas pozīcijas turēšana šajā operatorā. Paredzams, ka ETH, kas piesaistīts attiecīgajiem validatoriem, pakāpeniski atgriezīsies, izejot no tirgus, izņemot līdzekļus un atkārtoti ieejot tajā. stETH turētājiem ir teikts, ka viņiem nekas nav jāatpērk vai jāpārvieto.
Arī ikdienas MetaMask maka lietotājiem uzņēmuma nostāja nav mainījusies. Tas apgalvo, ka nav konstatējis tiešus draudus makiem un nav lūdzis lietotājiem pārvietot aktīvus. Tas nepadara incidentu nenozīmīgu. Tas uzsver, cik liela daļa Ethereum steikinga ekonomikas ir atkarīga no darbības infrastruktūras, kas atrodas ārpus blokķēdes pamatnoteikumiem. Pakalpojumu sniedzējs var neļaut savām rokām piekļūt izņemšanas atslēgām un joprojām izlemt apturēt validatorus, ja tas atklāj kaut ko neparastu. Drošība steikošanā nav saistīta tikai ar protokolu; tā ir saistīta arī ar iekārtām un akreditācijas datiem, kas tiek izmantoti tā darbībai.
Nākamie noderīgie atskaites punkti ir validatoru aiziešanas pabeigšana ap 7. oktobri un faktiskais izņemšanas un atkārtotas piekļuves cikla ilgums. Ja process turpināsies aplēstajās 45 dienu robežās, tiešās izmaksas galvenokārt būs nesaņemtās atlīdzības un darbības traucējumi. Ja jauna informācija atklās dziļāku piekļuvi, novērtējums varētu mainīties. Pagaidām publiskajā avotā ir vērojama piesardzīga reakcija, neliela apstiprināta atlīdzības novirzīšana un liela, bet neapstiprināta aplēse par validatoru aiziešanu. Šajā posmā nav apstiprinātu lietotāju maku vai iemaksātās pamatsummas zaudēšanas.
Šī epizode atgādina, ka lielie steikošanas pakalpojumi var ātri reaģēt, ja infrastruktūra šķiet aizdomīga, pat pirms pilnīgas ainas ir skaidra. MetaMask ir izvēlējies iziet no skartajiem validatoriem un absorbēt dīkstāves laiku, nevis gaidīt skaidrību. Lido ir informējis stETH turētājus, nelūdzot viņiem iejaukties. Pētnieka atklājumi ķēdē līdz šim ir snieguši visprecīzākos pierādījumus, savukārt MetaMask paša skaidrojums joprojām ir nepilnīgs. Lietotāji var turpināt sekot līdzi oficiālajiem atjauninājumiem, taču pašreizējie fakti neatbalsta paniku. Galvenā plaisa ir starp drošības problēmu steikošanas infrastruktūrā un parasto MetaMask maku drošību.
