- MetaMask ay aalis sa Lido ang mga apektadong Ethereum validator bilang pag-iingat matapos matuklasan ang isang isyu sa seguridad sa bahagi ng imprastraktura nito.
- Sinabi ng kumpanya na mayroon ito walang agarang senyales ng panganib sa mga MetaMask wallet at hindi hiniling sa mga user na ilipat ang mga pondo.
- Natuklasan ng isang mananaliksik humigit-kumulang 0.36 ETH sa mga block reward na ipinadala sa isang hindi inaasahang address; ang mga pagtatantya na 17,000 validator at 523,000 ETH ay nananatiling hindi pa nakumpirma.
- Inaasahan ng Lido na aalis ang mga huling apektadong validator pagsapit ng Oktubre 7, na may ganap na pag-withdraw at muling pagpasok na posibleng tumagal nang humigit-kumulang 45 araw.
Nahaharap ang MetaMask sa isang isyu sa seguridad na nakakaapekto sa bahagi ng imprastraktura sa likod ng serbisyo ng Ethereum staking nito, at sinimulan na ng kumpanya na alisin ang mga apektadong validator bilang pananggalang . Sinasabi ng tagapagbigay ng wallet na ang hakbang na ito ay pag-iingat. Ayon sa pampublikong update nito, wala pa itong nakikitang anumang bagay na nagpapahiwatig ng agarang panganib para sa mga ordinaryong MetaMask wallet. Mahalaga ang pagkakaibang iyon, dahil ang problema ay nasa mga operasyon ng staking sa halip na sa wallet software na ginagamit ng karamihan sa mga tao para maghawak ng mga token.
Unang inilarawan ng kumpanya ang sitwasyon noong isang Miyerkules, na sinasabing hinahawakan nito ang isang patuloy na banta sa loob ng kumpanya habang nagsasama-sama ng mga panlabas na kasosyo sa seguridad at tagapayo. Hindi nito pinangalanan ang nakompromisong sistema, ipinaliwanag kung paano nakuha ang access, o nagbigay ng matibay na bilang ng mga validator na kasangkot. Sa ngayon, ang pangunahing mensahe para sa mga user ay walang sinuman ang hinilingang ilipat ang mga pondo o baguhin ang mga setting . Ang mahinahong patnubay na iyon ay kapaki-pakinabang, ngunit nag-iiwan din ito ng maraming teknikal na tanong na bukas.
Sinasabi ng MetaMask na ang mga Wallet ay Hindi Agad Nanganganib
Sa kanilang update, itinuring ng MetaMask ang insidente bilang isang bagay na nakakaapekto sa isang bahagi ng sarili nitong imprastraktura, hindi sa mga wallet na kontrolado ng mga gumagamit. Sinabi ng kumpanya na wala pa itong natukoy na agarang banta sa mga wallet ng MetaMask, isang puntong inulit sa ilang ulat. Kasabay nito, iniwasan nitong sabihin na ang bagay ay ganap nang sarado. Patuloy pa rin ang imbestigasyon, at inaasahan ang higit pang mga detalye habang nalalaman ng kumpanya ang nangyari.
Ang mga salitang iyan ay nag-iiwan ng espasyo para sa mga nuances. Ang isang insidente sa seguridad sa isang pangunahing tagapagbigay ng wallet ay maaaring magmukhang nakababahala, ngunit ang profile ng panganib ay depende sa kung aling mga sistema ang naapektuhan. Binigyang-diin ng MetaMask na ang mga operasyon ng staking nito ay hindi custodial at hindi nito pinamamahalaan ang mga withdrawal key para sa itinalagang ETH ng mga customer. Sa madaling salita, maaaring patakbuhin ng kumpanya ang mga makinang nagpapatunay ng mga transaksyon, habang ang mga gumagamit ay may hiwalay na kontrol sa kung saan maaaring i-withdraw ang kanilang mga staked coin. Ang paghihiwalay na iyon ang sentro kung bakit sinasabi ng kumpanya na ang mga wallet ay hindi nahaharap sa isang agarang banta.
Gayunpaman, ang kakulangan ng detalye ay nakadismaya sa mga taong naghahangad ng malinaw na larawan. Hindi sinabi ng MetaMask kung ang isyu ay may kinalaman sa isang kahinaan, hindi awtorisadong pag-access, o iba pang uri ng pagkabigo sa operasyon. Hindi rin nito kinumpirma kung ilang validator ang naapektuhan o kung may anumang data ng user ang nalantad . Para sa mga user, simple lang ang praktikal na payo: manatili sa mga opisyal na channel, huwag pansinin ang mga agarang mensahe na humihingi ng mga seed phrase, at ituring nang may pag-iingat ang mga tsismis sa social media. Ang mga pagtatangka sa phishing ay kadalasang sumusunod sa mga totoong balita sa seguridad, kaya ang mga hindi hinihinging babala ay maaaring maging kasing mapanganib ng orihinal na insidente.
Lumalabas ang mga Validator sa Lido bilang Pag-iingat
Ang bahagi ng staking ng kwento ay kung saan mas nakikita ang tugon. Ang Lido, isang liquid staking protocol na nakikipagtulungan sa maraming node operator, ay nagsabing ang MetaMask Staking ay nagsimula nang gumawa ng mga pag-iingat upang protektahan ang mga asset ng kliyente na nakatali sa mga Ethereum validator na pinapatakbo nito. Ang mga validator na iyon ay nagsimulang umalis sa sistema ng Lido noong Miyerkules. Nag-aalok ang MetaMask Portfolio ng staking sa pamamagitan ng pooled staking, validator staking, at liquid staking sa pamamagitan ng Lido at Rocket Pool, kaya ang paglabas ay partikular sa mga apektadong operasyon sa halip na isang blanket shutdown ng bawat ruta ng staking. Ang aksyon ay naglalayong sa mga validator na pinapatakbo ng MetaMask, hindi sa Ethereum sa kabuuan.
Sinabi ni Lido na ang mga huling apektadong validator ay dapat makumpleto ang kanilang paglabas sa Oktubre 7, ngunit ang petsang iyon ay hindi nangangahulugan na ang ETH ay babalik agad sa aksyon. Kasama sa buong cycle ang paglabas, pag-withdraw, at muling pagpasok sa staking set. Dahil ang Ethereum ay may pila para sa mga bagong validator, ang round trip na iyon ay maaaring tumagal ng humigit-kumulang 45 araw. Ipinaliwanag ni Will Shannon, isang developer sa Lido Finance, na ang ETH mula sa mga validator na pinapatakbo ng MetaMask ay unti-unting babalik sa protocol habang tinatapos ng bawat validator ang proseso. Sa panahong iyon, ang mga apektadong validator ay hihinto sa paggawa ng mga normal na staking reward.
Mayroon ding panganib ng parusa kung ang mga validator ay mag-offline bago makumpleto ang kanilang paglabas. Hindi ibig sabihin nito ay nagkaroon ng slashing event. Ang slashing ay isang mas mabigat na parusa na ginagamit kapag ang mga validator ay lumabag sa mga tuntunin ng pinagkasunduan, tulad ng pagpirma sa magkasalungat na mga bloke. Hindi iniulat nina MetaMask o Lido na naganap ang slashing. Ang kanilang inilarawan ay isang precautionary exit at isang pansamantalang pagkawala ng kita habang ang mga validator ay wala sa serbisyo. Mahalaga rito ang pagkakaiba sa pagitan ng nawalang mga gantimpala at nawalang prinsipal.
Maliit na Paglihis ng Gantimpala, Malalaking Hindi Nakumpirmang mga Pagtatantya
Isang mananaliksik na kilala bilang Kaden ang nagbigay ng mas konkretong hulma sa insidente sa pamamagitan ng pagsusuri sa aktibidad na on-chain. Ayon sa pagsusuring iyon, 18 sa 19 na validator na pinapatakbo ng MetaMask na nakatanggap ng mga bayad sa block production ang nagpadala ng mga gantimpalang iyon sa isang hindi inaasahang address. Ang tinantyang halaga ay humigit-kumulang 0.36 ETH, isang maliit na halaga sa dolyar kumpara sa laki ng operasyon ng staking. Ang natuklasan ay hindi gaanong mahalaga para sa perang kasangkot at mas mahalaga para sa ipinahihiwatig nito: ang isang tao ay may kakayahang baguhin ang isang setting na nakatali sa mga gantimpala ng validator. Ang ganitong uri ng access ay maaaring mag-redirect ng kita nang hindi naaapektuhan ang principal na na-stake.
Ang teknikal na pagkakaiba ay nakakatulong na ipaliwanag ang limitadong pinsalang naiulat sa ngayon. Pinapayagan ng Ethereum ang mga operator na magtakda ng address ng tatanggap ng bayad para sa mga bayarin sa transaksyon at mag-block ng mga gantimpala, hiwalay sa mga kredensyal sa pag-withdraw na kumokontrol sa mismong naka-stake na ETH. Kung babaguhin lamang ng isang umaatake ang tatanggap ng bayad, maaari nilang ilipat ang mga patuloy na gantimpala. Hindi nila basta-basta maililipat ang orihinal na taya. Ang isang mas seryosong senaryo ay kinabibilangan ng pagpirma ng mga susi, na maaaring magpahintulot sa isang malisyosong aktor na pilitin ang magkasalungat na mga pagpapatunay at mag-trigger ng slashing. Wala pang ganitong resulta ang nakumpirma. Ang pampublikong ebidensya sa ngayon ay tumutukoy sa mga inilipat na gantimpala, hindi mga ninakaw na deposito.
Tinantya rin ni Kaden na ang mga precautionary exit ay kinasangkutan ng humigit-kumulang 17,000 validator at humigit-kumulang 523,000 ETH. Hindi pa kinumpirma ng MetaMask sa publiko ang mga bilang na iyon. Samakatuwid, pinakamahusay na ituring ang mga ito bilang isang panlabas na pagtatantya batay sa nakikitang datos ng network, hindi isang opisyal na bilang ng kumpanya. Kapansin-pansin pa rin ang laki. Sinabi ng website ng MetaMask na namamahala ito ng mahigit $3 bilyon sa ETH staking sa pamamagitan ng imprastraktura nito, na ginagawa itong isang pangunahing gateway para sa mga user na gustong ma-expose sa Ethereum staking. Ang eksaktong saklaw ng apektadong slice ay nananatiling hindi tiyak hanggang sa magbigay ang MetaMask ng karagdagang impormasyon.
Ang Kahulugan Nito para sa mga Gumagamit at May-ari ng STETH
Para sa mga may hawak ng stETH, ang token na kumakatawan sa ETH na na-stake sa pamamagitan ng Lido at ng mga naipon nitong gantimpala, diretso ang mensahe ng Lido: walang kinakailangang aksyon. Ipinakakalat ng protocol ang staking sa maraming operator, kaya ang pagkakalantad sa mga validator ng isang operator ay hindi katulad ng paghawak ng direktang posisyon sa operator na iyon. Ang ETH na nakatali sa mga apektadong validator ay inaasahang babalik nang paunti-unti habang nagpapatuloy ang proseso ng paglabas, pag-withdraw, at muling pagpasok. Sinabihan ang mga may hawak ng stETH na hindi nila kailangang mag-redeem o maglipat ng kahit ano.
Para sa mga pang-araw-araw na gumagamit ng MetaMask wallet, hindi rin nagbago ang posisyon ng kumpanya. Sinasabi nito na wala pa itong nakitang agarang banta sa mga wallet at hindi hiniling sa mga gumagamit na ilipat ang mga asset. Hindi nito ginagawang hindi mahalaga ang insidente. Itinatampok nito kung gaano kalaki ang nakasalalay sa staking economy ng Ethereum sa operating infrastructure na nasa labas ng mga pangunahing patakaran ng blockchain. Maaaring itago ng isang provider ang mga withdrawal key sa sarili nitong mga kamay at magpasya pa ring i-pause ang mga validator kapag may nakita itong kakaiba. Ang seguridad sa staking ay hindi lamang tungkol sa protocol; ito rin ay tungkol sa mga makina at kredensyal na ginagamit upang patakbuhin ito.
Ang susunod na mga kapaki-pakinabang na milestone ay ang pagkumpleto ng mga paglabas ng validator sa bandang Oktubre 7 at ang aktwal na tagal ng cycle ng pag-withdraw at muling pagpasok. Kung ang proseso ay mananatili sa loob ng tinatayang 45-araw na window, ang agarang gastos ay kadalasang mga nawalang gantimpala at pagkagambala sa operasyon. Kung ang mga bagong detalye ay magpapakita ng mas malalim na pag-access, maaaring magbago ang pagtatasa. Sa ngayon, ang pampublikong rekord ay nagpapakita ng isang maingat na tugon, isang maliit na kumpirmadong paglihis ng gantimpala, at isang malaki ngunit hindi kumpirmadong pagtatantya ng mga validator na umaalis. Walang kumpirmadong pagkawala ng mga wallet ng gumagamit o nakataya na prinsipal sa yugtong ito.
Ang episode ay isang paalala na ang malalaking serbisyo ng staking ay maaaring kumilos nang mabilis kapag ang imprastraktura ay mukhang kahina-hinala, kahit na bago pa maging malinaw ang buong larawan. Pinili ng MetaMask na lumabas sa mga apektadong validator at tanggapin ang downtime sa halip na maghintay ng katiyakan. Pinapanatili ng Lido ang impormasyon sa mga may hawak ng stETH nang hindi hinihiling sa kanila na mamagitan. Ang mga natuklasan sa on-chain ng isang mananaliksik ang nagbigay ng pinaka-tiyak na ebidensya sa ngayon, habang ang sariling paliwanag ng MetaMask ay nananatiling hindi kumpleto. Maaaring patuloy na subaybayan ng mga user ang mga opisyal na update, ngunit ang kasalukuyang mga katotohanan ay hindi sumusuporta sa pagkataranta. Ang pangunahing pagkakaiba ay sa pagitan ng isyu sa seguridad sa imprastraktura ng staking at ang kaligtasan ng mga ordinaryong wallet ng MetaMask.
