- MetaMask po i mbyll validatorët e prekur të Ethereum nga Lido si masë paraprake pasi gjeti një problem sigurie në një pjesë të infrastrukturës së saj.
- Kompania thotë se ka asnjë shenjë e menjëhershme rreziku në portofolet MetaMask dhe nuk u ka kërkuar përdoruesve të transferojnë fonde.
- Një studiues vuri re rreth 0.36 ETH në shpërblime bllok të dërguara në një adresë të papritur; vlerësimet për 17,000 validues dhe 523,000 ETH mbeten të pakonfirmuara.
- Lido pret që validuesit e fundit të prekur të dalin deri më Tetor 7, me tërheqjen e plotë dhe rihyrjen që mund të zgjasë rreth 45 ditë.
MetaMask është përballur me një problem sigurie që prek një pjesë të infrastrukturës që qëndron pas shërbimit të saj të ruajtjes së të dhënave në Ethereum, dhe kompania ka filluar të tërheqë validatorët e prekur nga lidhja e rrjetit si një masë mbrojtëse . Ofruesi i portofolit thotë se ky veprim është paraprak. Sipas përditësimit të tij publik, nuk ka parë asgjë që tregon një rrezik të menjëhershëm për portofolet e zakonshme MetaMask. Ky dallim ka rëndësi, sepse problemi qëndron në operacionet e ruajtjes së të dhënave dhe jo në softuerin e portofolit që shumica e njerëzve përdorin për të mbajtur token-a.
Kompania e përshkroi situatën për herë të parë të mërkurën, duke thënë se po trajtonte një kërcënim të vazhdueshëm brenda kompanisë, ndërkohë që po sillte partnerë dhe këshilltarë të jashtëm sigurie. Ajo nuk e emërtoi sistemin e kompromentuar, nuk shpjegoi se si u mor qasja dhe as nuk dha një numër të saktë të vlerësuesve të përfshirë. Për momentin, mesazhi kryesor për përdoruesit është se askujt nuk i është kërkuar të zhvendosë fonde ose të ndryshojë cilësimet . Ky udhëzim qetësues është i dobishëm, por lë gjithashtu shumë pyetje teknike të hapura.
MetaMask thotë se portofolet nuk janë menjëherë në rrezik
Në përditësimin e saj, MetaMask e paraqiti incidentin si diçka që prek një pjesë të infrastrukturës së saj, jo portofolet që përdoruesit kontrollojnë. Kompania tha se nuk kishte identifikuar një kërcënim të menjëhershëm për portofolet MetaMask, një pikë e përsëritur në disa raporte. Në të njëjtën kohë, ajo shmangu thënien se çështja ishte mbyllur plotësisht. Hetimi është ende duke vazhduar dhe priten më shumë detaje ndërsa kompania mëson se çfarë ka ndodhur.
Ky formulim lë hapësirë për nuanca. Një incident sigurie te një ofrues i madh portofolesh mund të tingëllojë alarmues, por profili i rrezikut varet nga sistemet që janë prekur. MetaMask ka theksuar se operacionet e saj të vendosjes së fondeve nuk janë të ruajtjes dhe se nuk menaxhon çelësat e tërheqjes për ETH-në e deleguar të klientëve. Me fjalë të thjeshta, firma mund të përdorë makinat që vërtetojnë transaksionet, ndërsa përdoruesit mbajnë kontroll të veçantë mbi vendin ku mund të tërhiqen monedhat e tyre të vendosura. Kjo ndarje është thelbësore për arsyen pse kompania thotë se portofolet nuk po përballen me një kërcënim të menjëhershëm.
Megjithatë, mungesa e detajeve i ka frustruar njerëzit që duan një pamje të qartë. MetaMask nuk ka thënë nëse problemi përfshinte një dobësi, akses të paautorizuar apo një lloj tjetër dështimi operativ. Gjithashtu, nuk ka konfirmuar se sa validues u prekën ose nëse u ekspozuan të dhëna përdoruesi . Për përdoruesit, këshilla praktike është e thjeshtë: qëndroni në kanalet zyrtare, injoroni mesazhet urgjente që kërkojnë fraza fillestare dhe trajtojini thashethemet në mediat sociale me kujdes. Përpjekjet për phishing shpesh vijnë pas lajmeve të vërteta të sigurisë, kështu që paralajmërimet e padëshiruara mund të jenë po aq të rrezikshme sa incidenti origjinal.
Validuesit dalin përmes Lido si masë paraprake
Ana e stakingut të historisë është ajo ku reagimi bëhet më i dukshëm. Lido, një protokoll stakingu likuid që punon me operatorë të shumtë nyjesh, tha se MetaMask Staking kishte filluar të merrte hapa paraprakë për të mbrojtur asetet e klientëve të lidhura me validatorët e Ethereum që operon. Këta validatorë filluan të largoheshin nga sistemi i Lido të mërkurën. MetaMask Portfolio ofron staking përmes stakingut të përbashkët, stakingut të validatorëve dhe stakingut likuid përmes Lido dhe Rocket Pool, kështu që dalja është specifike për operacionet e prekura dhe jo një mbyllje e përgjithshme e çdo rruge stakingu. Veprimi synon validatorët që MetaMask ekzekuton, jo Ethereum në tërësi.
Lido tha se validuesit e fundit të prekur duhet të përfundojnë daljen e tyre deri më 7 tetor, por kjo datë nuk do të thotë që ETH do të rikthehet në veprim menjëherë. Cikli i plotë përfshin daljen, tërheqjen dhe rihyrjen në grupin e basteve. Meqenëse Ethereum ka një radhë për validues të rinj, ky udhëtim vajtje-ardhje mund të zgjasë rreth 45 ditë. Will Shannon, një zhvillues në Lido Finance, shpjegoi se ETH nga validuesit e operuar nga MetaMask do të kthehej në protokoll gradualisht ndërsa secili validues përfundon procesin. Gjatë kësaj periudhe, validuesit e prekur ndalojnë së prodhuari shpërblime normale të basteve.
Ekziston gjithashtu një rrezik penalizimi nëse validuesit dalin jashtë linje përpara se të përfundojë dalja e tyre. Kjo nuk do të thotë se ka ndodhur një ngjarje shkurtimi. Shkurtimi është një ndëshkim shumë më i ashpër që përdoret kur validuesit shkelin rregullat e konsensusit, siç është nënshkrimi i blloqeve kontradiktore. As MetaMask dhe as Lido nuk kanë raportuar se ka ndodhur shkurtim. Ajo që ata kanë përshkruar është një dalje paraprake dhe një humbje e përkohshme e të ardhurave ndërsa validuesit janë jashtë shërbimit. Dallimi midis shpërblimeve të humbura dhe principalit të humbur është i rëndësishëm këtu.
Devijim i vogël shpërblimi, vlerësime të mëdha të pakonfirmuara
Një studiues i njohur si Kaden i dha incidentit një formë më konkrete duke analizuar aktivitetin në zinxhir. Sipas kësaj analize, 18 nga 19 validuesit e operuar nga MetaMask që morën pagesa të prodhimit të bllokut i dërguan këto shpërblime në një adresë të papritur. Shuma e vlerësuar ishte rreth 0.36 ETH, një shumë e vogël në terma dollarësh krahasuar me madhësinë e operacionit të vendosjes së aksioneve. Zbulimi ka më pak rëndësi për paratë e përfshira dhe më shumë për atë që sugjeron: dikush kishte aftësinë të ndryshonte një cilësim të lidhur me shpërblimet e validuesit. Ky lloj aksesi mund të ridrejtojë të ardhurat pa prekur principalin e vendosur.
Dallimi teknik ndihmon në shpjegimin e dëmit të kufizuar të raportuar deri më tani. Ethereum u lejon operatorëve të caktojnë një adresë marrësi të tarifës për tarifat e transaksionit dhe shpërblimet e bllokimit, të ndara nga kredencialet e tërheqjes që kontrollojnë vetë ETH-në e vendosur. Nëse një sulmues ndryshon vetëm marrësin e tarifës, ai mund të devijojë shpërblimet e vazhdueshme. Ata nuk mund ta zhvendosin thjesht shumën origjinale të aksioneve. Një skenar më serioz do të përfshinte nënshkrimin e çelësave, të cilët mund të lejonin një aktor keqdashës të detyronte dëshmi kontradiktore dhe të shkaktonte ulje të vlerës. Një rezultat i tillë nuk është konfirmuar. Provat publike deri më tani tregojnë shpërblime të devijuara, jo depozita të vjedhura.
Kaden vlerësoi gjithashtu se daljet paraprake përfshinin afërsisht 17,000 validues dhe rreth 523,000 ETH. MetaMask nuk i ka konfirmuar publikisht këto shifra. Prandaj, është më mirë t'i trajtoni ato si një vlerësim i jashtëm bazuar në të dhënat e dukshme të rrjetit, jo si një shifër zyrtare e kompanisë. Shkalla është ende e dukshme. Uebfaqja e MetaMask ka thënë se menaxhon më shumë se 3 miliardë dollarë në staking ETH përmes infrastrukturës së saj, duke e bërë atë një portë kryesore për përdoruesit që duan ekspozim ndaj staking Ethereum. Shtrirja e saktë e seksionit të prekur mbetet e pasigurt derisa MetaMask të ofrojë më shumë informacion.
Çfarë do të thotë për përdoruesit dhe mbajtësit e stETH
Për mbajtësit e stETH, tokenit që përfaqëson ETH të vendosur përmes Lido-s dhe shpërblimet e tij të akumuluara, mesazhi i Lido-s ishte i qartë: nuk kërkohet asnjë veprim. Protokolli shpërndan vendosjen në shumë operatorë, kështu që ekspozimi ndaj validuesve të një operatori nuk është i njëjtë me mbajtjen e një pozicioni të drejtpërdrejtë në atë operator. ETH e lidhur me validuesit e prekur pritet të kthehet gradualisht ndërsa procesi i daljes, tërheqjes dhe rihyrjes vazhdon. Mbajtësve të stETH u është thënë se nuk kanë nevojë të shpengojnë ose të zhvendosin asgjë.
Për përdoruesit e përditshëm të portofoleve MetaMask, qëndrimi i kompanisë është gjithashtu i pandryshuar. Ajo thotë se nuk ka gjetur një kërcënim të menjëhershëm për portofolet dhe nuk u ka kërkuar përdoruesve të zhvendosin asetet. Kjo nuk e bën incidentin të parëndësishëm. Kjo thekson se sa shumë varet ekonomia e stakingut e Ethereum nga infrastruktura operative që ndodhet jashtë rregullave thelbësore të blockchain-it. Një ofrues mund t'i mbajë çelësat e tërheqjes larg duarve të veta dhe prapëseprapë të vendosë të ndalojë validuesit kur zbulon diçka të çuditshme. Siguria në staking nuk ka të bëjë vetëm me protokollin; ka të bëjë edhe me makinat dhe kredencialet e përdorura për ta drejtuar atë.
Piketat e tjera të dobishme janë përfundimi i daljeve të validuesve rreth 7 tetorit dhe kohëzgjatja aktuale e ciklit të tërheqjes dhe rihyrjes. Nëse procesi qëndron brenda dritares së parashikuar prej 45 ditësh, kostoja e menjëhershme është kryesisht shpërblime të humbura dhe ndërprerje operacionale. Nëse detajet e reja zbulojnë akses më të thellë, vlerësimi mund të ndryshojë. Për momentin, të dhënat publike tregojnë një përgjigje të kujdesshme, një devijim të vogël të konfirmuar të shpërblimeve dhe një vlerësim të madh, por të pakonfirmuar, të validuesve që largohen. Nuk ka humbje të konfirmuar të portofoleve të përdoruesve ose të principalit të investuar në këtë fazë.
Ky episod është një kujtesë se shërbimet e mëdha të staking-ut mund të veprojnë shpejt kur infrastruktura duket e dyshimtë, madje edhe para se pamja e plotë të jetë e qartë. MetaMask ka zgjedhur të dalë nga validuesit e prekur dhe të përvetësojë kohën e ndërprerjes në vend që të presë për siguri. Lido i ka mbajtur mbajtësit e stETH të informuar pa u kërkuar atyre të ndërhyjnë. Gjetjet në zinxhir të një studiuesi kanë ofruar provat më specifike deri më tani, ndërsa shpjegimi i vetë MetaMask mbetet i paplotë. Përdoruesit mund të vazhdojnë të monitorojnë përditësimet zyrtare, por faktet aktuale nuk mbështesin panik. Ndarja kryesore është midis një problemi sigurie në infrastrukturën e staking-ut dhe sigurisë së portofoleve të zakonshme MetaMask.
