- MetaMask iese din Lido validatoarele Ethereum afectate ca măsură de precauție, după ce a descoperit o problemă de securitate într-o parte a infrastructurii sale.
- Compania spune că da niciun semn imediat de pericol către portofelele MetaMask și nu a cerut utilizatorilor să transfere fonduri.
- Un cercetător a observat aproximativ 0.36 ETH recompense în bloc trimise la o adresă neașteptată; estimările de 17,000 de validatori și 523,000 de ETH rămân neconfirmate.
- Lido se așteaptă ca ultimii validatori afectați să iasă până la Octombrie 7, cu retragerea completă și reintrarea care pot dura aproximativ 45 de zile.
MetaMask s-a confruntat cu o problemă de securitate care afectează o parte a infrastructurii din spatele serviciului său de staking Ethereum, iar compania a început să retragă validatorii afectați offline ca măsură de siguranță . Furnizorul de portofele spune că această mișcare este una de precauție. Conform actualizării sale publice, nu a observat nimic care să indice un pericol imediat pentru portofelele MetaMask obișnuite. Această distincție contează, deoarece problema rezidă în operațiunile de staking, mai degrabă decât în software-ul de portofel pe care majoritatea oamenilor îl folosesc pentru a deține token-uri.
Compania a descris situația pentru prima dată miercuri, spunând că gestionează intern o amenințare continuă, aducând în același timp parteneri și consilieri de securitate externi. Nu a numit sistemul compromis, nu a explicat cum a fost obținut accesul și nici nu a oferit un număr exact de validatori implicați. Deocamdată, principalul mesaj pentru utilizatori este că nimănui nu i s-a cerut să transfere fonduri sau să modifice setările . Această îndrumare calmă este utilă, dar lasă și o mulțime de întrebări tehnice deschise.
MetaMask spune că portofelele nu sunt în pericol imediat
În actualizarea sa, MetaMask a prezentat incidentul ca afectând o parte a propriei infrastructuri, nu portofelele controlate de utilizatori. Compania a declarat că nu a identificat o amenințare imediată la adresa portofelelor MetaMask, un punct repetat în mai multe rapoarte. În același timp, a evitat să spună că problema a fost complet închisă. Ancheta este încă în desfășurare și se așteaptă mai multe detalii pe măsură ce compania află ce s-a întâmplat.
Această formulare lasă loc de nuanțe. Un incident de securitate la un furnizor important de portofele poate părea alarmant, dar profilul de risc depinde de sistemele care au fost atinse. MetaMask a subliniat că operațiunile sale de staking nu sunt custodiale și că nu gestionează cheile de retragere pentru ETH-ul delegat clienților. În termeni simpli, firma poate rula mașinile care validează tranzacțiile, în timp ce utilizatorii păstrează controlul separat asupra locului unde pot fi retrase monedele lor mizate. Această separare este esențială pentru motivul pentru care compania spune că portofelele nu se confruntă cu o amenințare imediată.
Totuși, lipsa detaliilor i-a frustrat pe cei care își doresc o imagine clară. MetaMask nu a precizat dacă problema a implicat o vulnerabilitate, acces neautorizat sau un alt tip de defecțiune operațională. De asemenea, nu a confirmat câți validatori au fost afectați sau dacă au fost expuse date ale utilizatorilor . Pentru utilizatori, sfatul practic este simplu: rămâneți pe canalele oficiale, ignorați mesajele urgente care solicită fraze inițiale și tratați zvonurile de pe rețelele sociale cu prudență. Tentativele de phishing urmează adesea știri reale despre securitate, așa că avertismentele nesolicitate pot fi la fel de periculoase ca incidentul inițial.
Validatorii ies prin Lido ca măsură de precauție
Partea de staking a poveștii este cea unde răspunsul devine mai vizibil. Lido, un protocol de staking lichid care funcționează cu mai mulți operatori de noduri, a declarat că MetaMask Staking a început să ia măsuri de precauție pentru a proteja activele clienților legați de validatorii Ethereum pe care îi operează. Acești validatori au început să părăsească sistemul Lido miercuri. MetaMask Portfolio oferă staking prin pooled staking, validator staking și lichid staking prin Lido și Rocket Pool, astfel încât ieșirea este specifică operațiunilor afectate, mai degrabă decât o închidere generală a fiecărei rute de staking. Acțiunea vizează validatorii pe care îi rulează MetaMask, nu Ethereum în ansamblu.
Lido a declarat că ultimii validatori afectați ar trebui să își finalizeze ieșirea până pe 7 octombrie, dar această dată nu înseamnă că ETH va reveni imediat în acțiune. Ciclul complet include ieșirea, retragerea și reintrarea din setul de staking. Deoarece Ethereum are o coadă pentru validatori noi, această călătorie dus-întors ar putea dura aproximativ 45 de zile. Will Shannon, dezvoltator la Lido Finance, a explicat că ETH provenit de la validatorii operați de MetaMask ar reveni la protocol treptat, pe măsură ce fiecare validator termină procesul. În timpul acestei perioade, validatorii afectați nu mai produc recompense normale de staking.
Există, de asemenea, un risc de penalizare dacă validatorii se deconectează înainte de finalizarea ieșirii. Asta nu înseamnă că s-a produs un eveniment de slashing. Slashing-ul este o pedeapsă mult mai aspră utilizată atunci când validatorii încalcă regulile de consens, cum ar fi semnarea blocurilor conflictuale. Nici MetaMask, nici Lido nu au raportat că a avut loc un slashing. Ceea ce au descris este o ieșire preventivă și o pierdere temporară de venit în timp ce validatorii sunt scoși din funcțiune. Diferența dintre recompensele pierdute și principalul pierdut este importantă aici.
Mică deviere a recompensei, mari estimări neconfirmate
Un cercetător cunoscut sub numele de Kaden a dat incidentului o formă mai concretă analizând activitatea on-chain. Conform acestei analize, 18 din 19 validatori operați de MetaMask care au primit plăți de producție în bloc au trimis acele recompense la o adresă neașteptată. Suma estimată a fost de aproximativ 0.36 ETH, o sumă mică în termeni de dolari în comparație cu dimensiunea operațiunii de staking. Descoperirea contează mai puțin pentru banii implicați și mai mult pentru ceea ce sugerează: cineva a avut capacitatea de a modifica o setare legată de recompensele validatorilor. Acest tip de acces poate redirecționa veniturile fără a atinge principalul mizat.
Distincția tehnică ajută la explicarea pagubelor limitate raportate până în prezent. Ethereum permite operatorilor să seteze o adresă de destinatar pentru comisioanele de tranzacție și recompensele blocate, separată de acreditările de retragere care controlează ETH-ul mizat în sine. Dacă un atacator schimbă doar destinatarul comisioanei, acesta poate devia recompensele în curs. Nu poate pur și simplu să mute miza inițială. Un scenariu mai grav ar implica semnarea cheilor, ceea ce ar putea permite unui actor rău intenționat să forțeze atestări conflictuale și să declanșeze operațiuni de slashing. Nu a fost confirmat un astfel de rezultat. Dovezile publice de până acum indică recompense deviate, nu depozite furate.
Kaden a estimat, de asemenea, că ieșirile preventive au implicat aproximativ 17,000 de validatori și în jur de 523,000 de ETH. MetaMask nu a confirmat public aceste cifre. Prin urmare, este mai bine să le tratezi ca o estimare externă bazată pe date vizibile ale rețelei, nu ca o cifră oficială a companiei. Amploarea este încă notabilă. Site-ul web al MetaMask a precizat că gestionează peste 3 miliarde de dolari în staking de ETH prin intermediul infrastructurii sale, ceea ce o face o poartă majoră pentru utilizatorii care doresc expunere la staking-ul Ethereum. Amploarea exactă a feliei afectate rămâne incertă până când MetaMask nu va oferi mai multe informații.
Ce înseamnă pentru utilizatori și deținătorii de stETH
Pentru deținătorii de stETH, tokenul care reprezintă ETH investit prin Lido și recompensele acumulate, mesajul Lido a fost direct: nu este necesară nicio acțiune. Protocolul distribuie investiția între mai mulți operatori, astfel încât expunerea la validatorii unui operator nu este aceeași cu deținerea unei poziții directe în acel operator. Se așteaptă ca ETH-ul legat de validatorii afectați să revină treptat, pe măsură ce procesul de ieșire, retragere și reintrare își urmează cursul. Deținătorilor de stETH li s-a spus că nu trebuie să răscumpere sau să mute nimic.
Pentru utilizatorii obișnuiți ai portofelului MetaMask, poziția companiei este, de asemenea, neschimbată. Compania afirmă că nu a găsit o amenințare imediată la adresa portofelelor și nu a cerut utilizatorilor să își mute activele. Asta nu face ca incidentul să fie irelevant. Subliniază cât de mult din economia de staking a Ethereum depinde de infrastructura de operare care se află în afara regulilor de bază ale blockchain-ului. Un furnizor poate păstra cheile de retragere departe de propriile mâini și totuși poate decide să întrerupă validatorii atunci când detectează ceva ciudat. Securitatea în staking nu se referă doar la protocol; ci și la mașinile și acreditările utilizate pentru a-l rula.
Următoarele etape utile sunt finalizarea ieșirilor validatorilor în jurul datei de 7 octombrie și durata efectivă a ciclului de retragere și reintrare. Dacă procesul se încadrează în fereastra estimată de 45 de zile, costul imediat este în mare parte reprezentat de recompense ratate și întreruperi operaționale. Dacă noi detalii dezvăluie un acces mai profund, evaluarea s-ar putea schimba. Deocamdată, datele publice arată un răspuns prudent, o mică deviere confirmată a recompenselor și o estimare mare, dar neconfirmată, a plecărilor validatorilor. În această etapă nu există nicio pierdere confirmată a portofelelor utilizatorilor sau a principalului investit.
Episodul este o reamintire a faptului că serviciile mari de staking pot acționa rapid atunci când infrastructura pare suspectă, chiar înainte ca imaginea completă să fie clară. MetaMask a ales să elimine validatorii afectați și să absoarbă timpul de nefuncționare, în loc să aștepte certitudinea. Lido i-a ținut la curent pe deținătorii de stETH fără a le cere să intervină. Constatările unui cercetător despre lanțul de tranzacționare au furnizat cele mai specifice dovezi de până acum, în timp ce explicația proprie a MetaMask rămâne incompletă. Utilizatorii pot continua să monitorizeze actualizările oficiale, dar faptele actuale nu susțin panica. Diferența cheie este între o problemă de securitate în infrastructura de staking și siguranța portofelelor MetaMask obișnuite.
