- MetaMask sedang mengeluarkan validator Ethereum yang terjejas daripada Lido sebagai langkah berjaga-jaga selepas menemui isu keselamatan di sebahagian infrastrukturnya.
- Syarikat itu berkata ia mempunyai tiada tanda bahaya serta-merta ke dompet MetaMask dan tidak meminta pengguna untuk memindahkan dana.
- Seorang penyelidik menemui kira-kira 0.36 ETH dalam ganjaran blok yang dihantar ke alamat yang tidak dijangka; anggaran 17,000 validator dan 523,000 ETH masih belum disahkan.
- Lido menjangkakan pengesah terakhir yang terjejas akan keluar menjelang 7 Okt, dengan pengeluaran penuh dan kemasukan semula mungkin mengambil masa sekitar 45 hari.
MetaMask mendapati dirinya berhadapan dengan isu keselamatan yang menyentuh sebahagian infrastruktur di sebalik perkhidmatan staking Ethereumnya, dan syarikat itu telah mula menarik balik pengesah yang terjejas di luar talian sebagai langkah berjaga-jaga . Penyedia dompet itu mengatakan langkah itu adalah langkah berjaga-jaga. Menurut kemas kini awamnya, ia tidak melihat apa-apa yang menunjukkan bahaya segera untuk dompet MetaMask biasa. Perbezaan itu penting, kerana masalahnya terletak pada operasi staking dan bukannya pada perisian dompet yang digunakan kebanyakan orang untuk menyimpan token.
Syarikat itu pertama kali menggambarkan situasi tersebut pada hari Rabu, dengan mengatakan bahawa ia sedang menangani ancaman berterusan secara dalaman sambil membawa masuk rakan kongsi dan penasihat keselamatan luar. Ia tidak menamakan sistem yang diceroboh, menjelaskan bagaimana akses diperoleh atau memberikan jumlah pengesah yang terlibat. Buat masa ini, mesej utama untuk pengguna ialah tiada sesiapa yang diminta untuk memindahkan dana atau menukar tetapan . Panduan tenang itu berguna, tetapi ia juga meninggalkan banyak persoalan teknikal yang terbuka.
MetaMask Mengatakan Dompet Tidak Berisiko Segera
Dalam kemas kininya, MetaMask membingkaikan insiden itu sebagai sesuatu yang menjejaskan sebahagian infrastrukturnya sendiri, bukan dompet yang dikawal pengguna. Syarikat itu berkata ia tidak mengenal pasti ancaman segera kepada dompet MetaMask, satu perkara yang diulangi dalam beberapa laporan. Pada masa yang sama, ia mengelak daripada mengatakan perkara itu telah ditutup sepenuhnya. Siasatan masih dijalankan, dan butiran lanjut dijangka akan diumumkan apabila syarikat mengetahui apa yang berlaku.
Kata-kata itu memberi ruang untuk nuansa. Insiden keselamatan di penyedia dompet utama mungkin kedengaran membimbangkan, tetapi profil risiko bergantung pada sistem mana yang disentuh. MetaMask telah menekankan bahawa operasi pertaruhannya bukan penjagaan dan ia tidak menguruskan kunci pengeluaran untuk ETH yang diwakilkan pelanggan. Secara ringkasnya, firma itu mungkin menjalankan mesin yang mengesahkan transaksi, sementara pengguna mengekalkan kawalan berasingan ke atas tempat syiling pertaruhan mereka boleh dikeluarkan. Pemisahan itu adalah penting mengapa syarikat itu mengatakan dompet tidak menghadapi ancaman segera.
Namun begitu, kekurangan perincian telah mengecewakan orang ramai yang mahukan gambaran yang jelas. MetaMask belum menyatakan sama ada isu itu melibatkan kerentanan, akses tanpa kebenaran atau jenis kegagalan operasi yang lain. Ia juga belum mengesahkan berapa banyak pengesah yang terjejas atau sama ada sebarang data pengguna telah terdedah . Bagi pengguna, nasihat praktikalnya mudah: patuhi saluran rasmi, abaikan mesej segera yang meminta frasa permulaan dan berhati-hati dengan khabar angin media sosial. Percubaan pancingan data selalunya berlaku selepas berita keselamatan sebenar, jadi amaran yang tidak diminta boleh sama berbahayanya dengan insiden asal.
Pengesah Keluar Melalui Lido sebagai Langkah Berjaga-jaga
Bahagian staking dalam cerita ini adalah di mana tindak balas menjadi lebih ketara. Lido, protokol staking cecair yang berfungsi dengan berbilang pengendali nod, berkata MetaMask Staking telah mula mengambil langkah berjaga-jaga untuk melindungi aset klien yang terikat dengan validator Ethereum yang dikendalikannya. Validator tersebut mula meninggalkan sistem Lido pada hari Rabu. Portfolio MetaMask menawarkan staking melalui staking terkumpul, staking validator dan staking cecair melalui Lido dan Rocket Pool, jadi jalan keluar adalah khusus untuk operasi yang terjejas dan bukannya penutupan menyeluruh setiap laluan staking. Tindakan ini ditujukan kepada validator yang dijalankan oleh MetaMask, bukan pada Ethereum secara keseluruhan.
Lido berkata pengesah terakhir yang terjejas sepatutnya melengkapkan pengeluaran mereka menjelang 7 Oktober, tetapi tarikh itu tidak bermakna ETH akan kembali beroperasi serta-merta. Kitaran penuh termasuk keluar, menarik diri dan memasuki semula set pertaruhan. Oleh kerana Ethereum mempunyai barisan untuk pengesah baharu, perjalanan pergi balik itu mungkin mengambil masa sekitar 45 hari. Will Shannon, seorang pembangun di Lido Finance, menjelaskan bahawa ETH daripada pengesah yang dikendalikan oleh MetaMask akan kembali ke protokol secara beransur-ansur apabila setiap pengesah menyelesaikan proses tersebut. Semasa tempoh tersebut, pengesah yang terjejas akan berhenti menghasilkan ganjaran pertaruhan biasa.
Terdapat juga risiko penalti jika pengesah berhenti beroperasi sebelum keluarnya selesai. Ini tidak bermakna peristiwa pemotongan telah berlaku. Pemotongan adalah hukuman yang lebih berat yang digunakan apabila pengesah melanggar peraturan konsensus, seperti menandatangani blok yang bercanggah. MetaMask mahupun Lido tidak melaporkan bahawa pemotongan telah berlaku. Apa yang mereka gambarkan ialah keluar berjaga-jaga dan kehilangan pendapatan sementara semasa pengesah tidak berfungsi. Perbezaan antara ganjaran yang hilang dan prinsipal yang hilang adalah penting di sini.
Pengalihan Ganjaran Kecil, Anggaran Besar yang Belum Disahkan
Seorang penyelidik yang dikenali sebagai Kaden memberikan gambaran yang lebih konkrit tentang kejadian itu dengan menganalisis aktiviti dalam rantaian. Menurut analisis itu, 18 daripada 19 validator yang dikendalikan oleh MetaMask yang menerima bayaran pengeluaran blok telah menghantar ganjaran tersebut ke alamat yang tidak dijangka. Jumlah anggaran adalah kira-kira 0.36 ETH, jumlah yang kecil dalam dolar berbanding dengan saiz operasi pertaruhan. Penemuan ini kurang penting untuk wang yang terlibat dan lebih penting untuk apa yang dicadangkannya: seseorang mempunyai keupayaan untuk mengubah tetapan yang terikat dengan ganjaran validator. Akses seperti itu boleh mengalihkan pendapatan tanpa menyentuh prinsipal yang dipertaruhkan.
Perbezaan teknikal ini membantu menjelaskan kerosakan terhad yang dilaporkan setakat ini. Ethereum membolehkan pengendali menetapkan alamat penerima yuran untuk yuran transaksi dan menyekat ganjaran, berasingan daripada kelayakan pengeluaran yang mengawal ETH yang dipertaruhkan itu sendiri. Jika penyerang hanya menukar penerima yuran, mereka boleh mengalihkan ganjaran yang sedang berjalan. Mereka tidak boleh mengalihkan pegangan asal begitu sahaja. Senario yang lebih serius akan melibatkan kunci penandatanganan, yang boleh membiarkan pelaku yang berniat jahat memaksa pengesahan yang bercanggah dan mencetuskan pemotongan. Tiada hasil sedemikian telah disahkan. Bukti awam setakat ini menunjukkan ganjaran yang dialihkan, bukan deposit yang dicuri.
Kaden juga menganggarkan bahawa langkah berjaga-jaga itu melibatkan kira-kira 17,000 pengesah dan sekitar 523,000 ETH. MetaMask belum mengesahkan angka tersebut secara terbuka. Oleh itu, angka tersebut paling baik dianggap sebagai anggaran luaran berdasarkan data rangkaian yang boleh dilihat, bukan angka rasmi syarikat. Skala tersebut masih ketara. Laman web MetaMask mengatakan bahawa ia menguruskan lebih daripada $3 bilion dalam pertaruhan ETH melalui infrastrukturnya, menjadikannya pintu masuk utama bagi pengguna yang mahukan pendedahan kepada pertaruhan Ethereum. Skop tepat bahagian yang terjejas masih tidak menentu sehingga MetaMask memberikan lebih banyak maklumat.
Apa Maksudnya untuk Pengguna dan Pemegang STETH
Bagi pemegang stETH, token yang mewakili ETH yang dipertaruhkan melalui Lido dan ganjaran terkumpulnya, mesej Lido adalah mudah: tiada tindakan diperlukan. Protokol ini menyebarkan pertaruhan merentasi banyak pengendali, jadi pendedahan kepada pengesah satu pengendali tidak sama seperti memegang kedudukan langsung dalam pengendali tersebut. ETH yang terikat dengan pengesah yang terjejas dijangka akan kembali secara beransur-ansur apabila proses keluar, pengeluaran dan kemasukan semula berjalan lancar. Pemegang stETH telah diberitahu bahawa mereka tidak perlu menebus atau memindahkan apa-apa.
Bagi pengguna dompet MetaMask setiap hari, kedudukan syarikat juga tidak berubah. Ia mengatakan bahawa ia tidak menemui ancaman segera kepada dompet dan tidak meminta pengguna untuk memindahkan aset. Itu tidak menjadikan insiden itu tidak relevan. Ia menekankan betapa banyak ekonomi staking Ethereum bergantung pada infrastruktur operasi yang berada di luar peraturan teras blockchain. Penyedia boleh menyimpan kunci pengeluaran daripada tangannya sendiri dan masih memutuskan untuk menghentikan sementara pengesah apabila ia mengesan sesuatu yang pelik. Keselamatan dalam staking bukan sahaja mengenai protokol; ia juga mengenai mesin dan kelayakan yang digunakan untuk menjalankannya.
Pencapaian penting seterusnya ialah penyiapan keluar pengesah sekitar 7 Oktober dan tempoh sebenar kitaran pengeluaran dan kemasukan semula. Jika proses tersebut kekal dalam tempoh anggaran 45 hari, kos serta-merta kebanyakannya adalah ganjaran yang terlepas dan gangguan operasi. Jika butiran baharu mendedahkan akses yang lebih mendalam, penilaian mungkin berubah. Buat masa ini, rekod awam menunjukkan tindak balas yang berhati-hati, lencongan ganjaran yang kecil yang disahkan dan anggaran besar tetapi belum disahkan tentang pengesah yang meninggalkan akaun. Tiada kehilangan dompet pengguna atau prinsipal yang dipertaruhkan yang disahkan pada peringkat ini.
Episod ini merupakan peringatan bahawa perkhidmatan staking besar boleh bertindak pantas apabila infrastruktur kelihatan mencurigakan, walaupun sebelum gambaran penuh jelas. MetaMask telah memilih untuk keluar daripada pengesah yang terjejas dan menyerap masa henti daripada menunggu kepastian. Lido telah memaklumkan pemegang stETH tanpa meminta mereka campur tangan. Penemuan dalam rantaian seorang penyelidik telah memberikan bukti yang paling spesifik setakat ini, manakala penjelasan MetaMask sendiri masih belum lengkap. Pengguna boleh terus memantau kemas kini rasmi, tetapi fakta semasa tidak menyokong panik. Perbezaan utama adalah antara isu keselamatan dalam infrastruktur staking dan keselamatan dompet MetaMask biasa.
