- MetaMask Компания в качестве меры предосторожности исключает затронутые валидаторы Ethereum из Lido после обнаружения проблемы безопасности в части своей инфраструктуры.
- Компания заявляет, что непосредственных признаков опасности нет. в кошельки MetaMask и не просила пользователей переводить средства.
- Исследователь заметил около 0.36 ETH В вознаграждениях за блоки, отправленных на неожиданный адрес, по-прежнему отсутствуют оценки в 17 000 валидаторов и 523 000 ETH.
- Lido ожидает, что последние затронутые валидаторы покинут систему к Октябрь 7При этом полный вывод средств и повторный въезд могут занять около 45 дней.
Компания MetaMask столкнулась с проблемой безопасности, затрагивающей часть инфраструктуры своего сервиса стейкинга Ethereum, и в качестве меры предосторожности начала отключать затронутые валидаторы . Поставщик кошельков заявляет, что этот шаг носит превентивный характер. Согласно его публичному сообщению, компания не обнаружила ничего, что указывало бы на непосредственную опасность для обычных кошельков MetaMask. Это различие важно, поскольку проблема заключается в операциях стейкинга, а не в программном обеспечении кошелька, которое большинство людей используют для хранения токенов.
Компания впервые описала ситуацию в среду, заявив, что устраняет существующую угрозу собственными силами, привлекая при этом внешних партнеров и консультантов по безопасности. Она не назвала скомпрометированную систему, не объяснила, как был получен доступ, и не назвала точного числа задействованных валидаторов. На данный момент главное для пользователей — никто не просил переводить средства или менять настройки . Это спокойное заявление полезно, но оно также оставляет множество технических вопросов открытыми.
Компания MetaMask заявляет, что кошельки не находятся под непосредственной угрозой.
В своем обновлении MetaMask представила инцидент как затронувший часть собственной инфраструктуры, а не кошельки, контролируемые пользователями. Компания заявила, что не выявила непосредственной угрозы для кошельков MetaMask, что повторялось в нескольких сообщениях. В то же время она избежала заявления о полном закрытии дела. Расследование все еще продолжается, и ожидается, что по мере выяснения обстоятельств произошедшего компания получит более подробную информацию.
Такая формулировка допускает нюансы. Инцидент с безопасностью у крупного поставщика кошельков может звучать тревожно, но профиль риска зависит от того, какие системы были затронуты. MetaMask подчеркивает, что ее операции по стейкингу не являются кастодиальными и что она не управляет ключами вывода для делегированных клиентам ETH. Проще говоря, компания может запускать машины, которые проверяют транзакции, в то время как пользователи сохраняют отдельный контроль над тем, куда можно вывести застейканные ими монеты. Это разделение является ключевым моментом, почему компания заявляет, что кошельки не сталкиваются с непосредственной угрозой.
Тем не менее, отсутствие подробностей разочаровало тех, кто хочет получить ясную картину. MetaMask не сообщила, связана ли проблема с уязвимостью, несанкционированным доступом или другим типом операционного сбоя. Компания также не подтвердила, сколько валидаторов пострадало и были ли раскрыты какие-либо пользовательские данные . Для пользователей практический совет прост: придерживайтесь официальных каналов, игнорируйте срочные сообщения с просьбой предоставить сид-фразы и относитесь к слухам в социальных сетях с осторожностью. Фишинговые атаки часто следуют за реальными новостями в области безопасности, поэтому незапрошенные предупреждения могут быть столь же опасны, как и сам инцидент.
Валидаторы выходят через Лидо в качестве меры предосторожности.
Реакция становится более заметной в части стейкинга. Lido, протокол ликвидного стейкинга, работающий с несколькими операторами узлов, заявил, что MetaMask Staking начал принимать превентивные меры для защиты активов клиентов, связанных с валидаторами Ethereum, которыми он управляет. Эти валидаторы начали покидать систему Lido в среду. MetaMask Portfolio предлагает стейкинг через пуловый стейкинг, стейкинг валидаторов и ликвидный стейкинг через Lido и Rocket Pool, поэтому выход касается только затронутых операций, а не полного закрытия всех каналов стейкинга. Действия направлены на валидаторы, которыми управляет MetaMask, а не на Ethereum в целом.
Компания Lido заявила, что последние затронутые валидаторы должны завершить свой выход к 7 октября, но эта дата не означает, что ETH сразу же вернется в строй. Полный цикл включает в себя выход, вывод средств и повторное вступление в стейкинг. Поскольку у Ethereum есть очередь для новых валидаторов, этот цикл может занять около 45 дней. Уилл Шеннон, разработчик из Lido Finance, объяснил, что ETH от валидаторов, работающих под управлением MetaMask, будут постепенно возвращаться в протокол по мере того, как каждый валидатор завершит процесс. В течение этого перерыва затронутые валидаторы перестают начислять обычные вознаграждения за стейкинг.
Существует также риск штрафных санкций, если валидаторы отключатся до завершения процесса вывода средств. Это не означает, что произошло наложение штрафных санкций. Штрафные санкции — это гораздо более суровое наказание, применяемое, когда валидаторы нарушают правила консенсуса, например, подписывают конфликтующие блоки. Ни MetaMask, ни Lido не сообщали о случаях наложения штрафных санкций. Они описывали лишь превентивный вывод средств и временную потерю дохода на время простоя валидаторов. Здесь важна разница между потерянными вознаграждениями и потерянным основным капиталом.
Небольшое отвлечение вознаграждения, большие неподтвержденные оценки
Исследователь, известный как Kaden, придал инциденту более конкретную форму, проанализировав активность в блокчейне. Согласно этому анализу, 18 из 19 валидаторов, работающих на MetaMask и получавших платежи за создание блоков, отправили эти вознаграждения на неожиданный адрес. Предполагаемая сумма составила около 0.36 ETH, что является небольшой суммой в долларовом выражении по сравнению с размером операции стейкинга. Этот вывод важен не столько из-за суммы денег, сколько из-за того, что он предполагает: кто-то имел возможность изменить настройку, связанную с вознаграждениями валидаторов. Такой доступ может перенаправлять доход, не затрагивая основной капитал, находящийся в стейкинге.
Техническое различие помогает объяснить ограниченный ущерб, о котором сообщалось до сих пор. Ethereum позволяет операторам устанавливать адрес получателя комиссий за транзакции и вознаграждения за блоки, отдельно от учетных данных для вывода средств, которые контролируют сами застейканные ETH. Если злоумышленник изменит только адрес получателя комиссий, он сможет перенаправить текущие вознаграждения. Он не может просто переместить первоначальный стейкинг. Более серьезный сценарий предполагает подписание ключей, что может позволить злоумышленнику принудительно получить противоречащие друг другу подтверждения и спровоцировать штрафные санкции. Такой исход пока не подтвержден. Имеющиеся на данный момент общедоступные данные указывают на перенаправление вознаграждений, а не на кражу депозитов.
Каден также подсчитал, что в результате превентивных выходов пострадало примерно 17 000 валидаторов и около 523 000 ETH. MetaMask публично не подтвердила эти цифры. Поэтому их следует рассматривать как внешнюю оценку, основанную на видимых данных сети, а не как официальную цифру компании. Масштаб всё же примечателен. На сайте MetaMask указано, что компания управляет стейкингом ETH на сумму более 3 миллиардов долларов через свою инфраструктуру, что делает её крупным каналом для пользователей, желающих получить доступ к стейкингу Ethereum. Точный масштаб затронутой части остаётся неопределённым до тех пор, пока MetaMask не предоставит дополнительную информацию.
Что это значит для пользователей и держателей stETH
Для держателей stETH, токена, представляющего собой ETH, размещенный в стейкинге через Lido, и накопленных вознаграждений, сообщение Lido было простым: никаких действий не требуется. Протокол распределяет стейкинг между многими операторами, поэтому доступ к валидаторам одного оператора не равносилен прямой позиции в этом операторе. Ожидается, что ETH, привязанный к затронутым валидаторам, будет постепенно возвращаться по мере завершения процесса выхода, вывода и повторного входа. Держателям stETH сообщили, что им не нужно ничего выводить или перемещать.
Для обычных пользователей кошелька MetaMask позиция компании также остается неизменной. Она заявляет, что не обнаружила непосредственной угрозы для кошельков и не просила пользователей переводить активы. Это не делает инцидент неактуальным. Он подчеркивает, насколько экономика стейкинга Ethereum зависит от операционной инфраструктуры, которая находится вне основных правил блокчейна. Провайдер может не иметь ключей вывода средств в своих руках и при этом приостанавливать работу валидаторов, когда обнаруживает что-то подозрительное. Безопасность в стейкинге зависит не только от протокола; она также касается машин и учетных данных, используемых для его работы.
Следующие важные этапы — завершение вывода средств валидаторами примерно 7 октября и фактическая продолжительность цикла вывода и повторного входа. Если процесс уложится в предполагаемый 45-дневный период, непосредственные издержки будут в основном связаны с упущенными вознаграждениями и сбоями в работе. Если новые данные раскроют более глубокий доступ, оценка может измениться. На данный момент публичные данные показывают осторожную реакцию, небольшое подтвержденное перенаправление вознаграждений и крупную, но неподтвержденную оценку числа вышедших валидаторов. На данном этапе нет подтвержденной потери кошельков пользователей или застейканного капитала.
Этот инцидент напоминает о том, что крупные сервисы стейкинга могут быстро реагировать, когда инфраструктура выглядит подозрительной, даже до того, как станет ясна полная картина. MetaMask предпочла выйти из затронутых валидаторов и смириться с простоем, вместо того чтобы ждать полной ясности. Lido информировала держателей stETH, не прося их вмешиваться. На данный момент наиболее конкретные доказательства предоставили результаты исследований, проведенных в блокчейне, в то время как собственное объяснение MetaMask остается неполным. Пользователи могут продолжать следить за официальными обновлениями, но текущие факты не дают оснований для паники. Ключевое разногласие заключается в проблеме безопасности инфраструктуры стейкинга и безопасности обычных кошельков MetaMask.
