- MetaMask Lido, altyapısının bir bölümünde güvenlik açığı tespit ettikten sonra önlem olarak etkilenen Ethereum doğrulayıcılarını Lido'dan çıkarıyor.
- Şirket sahip olduğunu söylüyor herhangi bir acil tehlike belirtisi yok. MetaMask cüzdanlarına yöneliktir ve kullanıcılardan fonları taşımalarını istememiştir.
- Bir araştırmacı fark etti yaklaşık 0.36 ETH Blok ödüllerinin beklenmedik bir adrese gönderilmesi; 17,000 doğrulayıcı ve 523,000 ETH'lik tahminler henüz doğrulanmadı.
- Lido, etkilenen son doğrulayıcıların şu tarihe kadar sistemden çıkmasını bekliyor: Ekim 7Tamamen çekilme ve yeniden giriş işleminin yaklaşık 45 gün sürebileceği tahmin ediliyor.
MetaMask, Ethereum staking hizmetinin altyapısının bir bölümünü etkileyen bir güvenlik sorunuyla karşı karşıya kaldı ve şirket, önlem olarak etkilenen doğrulayıcıları çevrimdışı duruma getirmeye başladı. Cüzdan sağlayıcısı, bu adımın ihtiyati olduğunu söylüyor. Yayınladığı kamuoyu açıklamasına göre, sıradan MetaMask cüzdanları için acil bir tehlikeye işaret eden herhangi bir şey görmediklerini belirtiyor. Bu ayrım önemlidir, çünkü sorun, çoğu insanın token tutmak için kullandığı cüzdan yazılımında değil, staking işlemlerinde yatmaktadır.
Şirket durumu ilk olarak Çarşamba günü açıkladı ve devam eden bir tehdidi dahili olarak ele alırken dışarıdan güvenlik ortakları ve danışmanları da devreye soktuğunu belirtti. Hangi sistemin tehlikeye atıldığını, erişimin nasıl sağlandığını veya kaç doğrulayıcının involved olduğunu açıklamadı. Şimdilik kullanıcılara verilen ana mesaj, hiç kimseden fon transferi yapması veya ayarları değiştirmesi istenmediğidir . Bu sakin yaklaşım faydalı olsa da, birçok teknik soruyu da açıkta bırakıyor.
MetaMask, cüzdanların şu an için risk altında olmadığını söylüyor.
MetaMask, yaptığı açıklamada olayı, kullanıcıların kontrolündeki cüzdanları değil, kendi altyapısının bir bölümünü etkileyen bir durum olarak nitelendirdi. Şirket, MetaMask cüzdanlarına yönelik acil bir tehdit tespit etmediğini belirtti; bu nokta birçok raporda da tekrarlandı. Aynı zamanda, konunun tamamen kapandığını söylemekten de kaçındı. Soruşturma hala devam ediyor ve şirket ne olduğunu öğrendikçe daha fazla ayrıntı bekleniyor.
Bu ifade, nüanslara yer bırakıyor. Büyük bir cüzdan sağlayıcısında yaşanan bir güvenlik olayı endişe verici görünebilir, ancak risk profili hangi sistemlerin etkilendiğine bağlıdır. MetaMask, staking işlemlerinin emanetçi olmadığını ve müşterilerin delege ettikleri ETH'nin çekim anahtarlarını yönetmediğini vurguladı. Basitçe söylemek gerekirse, şirket işlemleri doğrulayan makineleri çalıştırabilirken, kullanıcılar stake ettikleri coinlerin nereden çekilebileceği konusunda ayrı bir kontrole sahip olabilirler. Bu ayrım, şirketin cüzdanların acil bir tehditle karşı karşıya olmadığını söylemesinin temel nedenidir.
Yine de, ayrıntı eksikliği, net bir tablo isteyenleri hayal kırıklığına uğrattı. MetaMask, sorunun bir güvenlik açığı, yetkisiz erişim veya başka bir tür operasyonel arıza olup olmadığını açıklamadı. Ayrıca kaç doğrulayıcının etkilendiğini veya herhangi bir kullanıcı verisinin ifşa edilip edilmediğini de doğrulamadı . Kullanıcılar için pratik tavsiye basittir: resmi kanallara bağlı kalın, kurtarma anahtar kelimeleri isteyen acil mesajları dikkate almayın ve sosyal medya söylentilerine ihtiyatla yaklaşın. Kimlik avı girişimleri genellikle gerçek güvenlik haberlerini takip eder, bu nedenle istenmeyen uyarılar orijinal olay kadar tehlikeli olabilir.
Doğrulayıcılar tedbir amaçlı olarak Lido'dan çıkış yapıyor.
Staking tarafı, tepkinin daha görünür hale geldiği yerdir. Birden fazla düğüm operatörüyle çalışan likit staking protokolü Lido, MetaMask Staking'in, işlettiği Ethereum doğrulayıcılarına bağlı müşteri varlıklarını korumak için önleyici adımlar atmaya başladığını söyledi. Bu doğrulayıcılar Çarşamba günü Lido'nun sisteminden ayrılmaya başladı. MetaMask Portfolio, havuzlu staking, doğrulayıcı staking ve Lido ve Rocket Pool aracılığıyla likit staking yoluyla staking sunmaktadır, bu nedenle çıkış, her staking yolunun genel olarak kapatılmasından ziyade, etkilenen operasyonlara özgüdür. Eylem, Ethereum'un tamamını değil, MetaMask'ın çalıştırdığı doğrulayıcıları hedef almaktadır.
Lido, etkilenen son doğrulayıcıların 7 Ekim'e kadar çıkış işlemlerini tamamlamaları gerektiğini söyledi, ancak bu tarih ETH'nin hemen tekrar kullanıma gireceği anlamına gelmiyor. Tam döngü, çıkış, para çekme ve staking setine yeniden girme işlemlerini içeriyor. Ethereum'un yeni doğrulayıcılar için bir kuyruğu olduğundan, bu gidiş-dönüş yaklaşık 45 gün sürebilir. Lido Finance'te geliştirici olan Will Shannon, MetaMask tarafından işletilen doğrulayıcılardan gelen ETH'nin, her doğrulayıcı işlemi tamamladıkça kademeli olarak protokole geri döneceğini açıkladı. Bu süre zarfında, etkilenen doğrulayıcılar normal staking ödüllerini üretmeyi durduruyor.
Doğrulayıcılar çıkış işlemleri tamamlanmadan çevrimdışı kalırlarsa da ceza riski vardır. Bu, bir kesinti olayının gerçekleştiği anlamına gelmez. Kesinti, doğrulayıcılar çelişkili blokları imzalamak gibi konsensus kurallarını ihlal ettiklerinde kullanılan çok daha sert bir cezadır. Ne MetaMask ne de Lido, kesinti yaşandığını bildirmemiştir. Açıkladıkları şey, ihtiyati bir çıkış ve doğrulayıcılar hizmet dışı kaldığı süre boyunca geçici bir gelir kaybıdır. Burada kaybedilen ödüller ve kaybedilen anapara arasındaki fark önemlidir.
Küçük Ödül Sapması, Büyük Doğrulanmamış Tahminler
Kaden olarak bilinen bir araştırmacı, zincir içi aktiviteyi analiz ederek olaya daha somut bir şekil verdi. Bu analize göre, blok üretim ödemelerini alan 19 MetaMask işletimli doğrulayıcıdan 18'i bu ödülleri beklenmedik bir adrese gönderdi. Tahmini miktar yaklaşık 0.36 ETH idi; bu, stake işleminin büyüklüğüne kıyasla dolar cinsinden küçük bir meblağ. Bulgu, söz konusu para miktarı açısından değil, daha çok neyi gösterdiği açısından önem taşıyor: Birisi, doğrulayıcı ödüllerine bağlı bir ayarı değiştirme yeteneğine sahipti . Bu tür bir erişim, stake edilen anaparaya dokunmadan geliri yeniden yönlendirebilir.
Teknik ayrım, şimdiye kadar bildirilen sınırlı hasarı açıklamaya yardımcı oluyor. Ethereum, operatörlerin işlem ücretleri ve blok ödülleri için, stake edilen ETH'nin kendisini kontrol eden çekme kimlik bilgilerinden ayrı bir ücret alıcı adresi belirlemesine olanak tanır. Bir saldırgan yalnızca ücret alıcısını değiştirirse, devam eden ödülleri yönlendirebilir. Orijinal stake'i basitçe taşıyamaz. Daha ciddi bir senaryo, kötü niyetli bir aktörün çelişkili onayları zorlamasına ve kesintilere yol açmasına izin verebilecek imzalama anahtarlarını içerir. Böyle bir sonuç henüz doğrulanmadı. Şimdiye kadarki kamuya açık kanıtlar, çalınan mevduatlardan ziyade yönlendirilen ödüllere işaret ediyor.
Kaden ayrıca, ihtiyati çıkışların yaklaşık 17,000 doğrulayıcıyı ve yaklaşık 523,000 ETH'yi kapsadığını tahmin etti. MetaMask bu rakamları kamuoyuna açıklamadı. Bu nedenle, resmi bir şirket rakamı değil, görünür ağ verilerine dayalı harici bir tahmin olarak değerlendirilmelidir. Ölçek yine de dikkat çekici. MetaMask'ın web sitesinde, altyapısı aracılığıyla 3 milyar dolardan fazla ETH staking'ini yönettiği ve Ethereum staking'ine maruz kalmak isteyen kullanıcılar için önemli bir geçit olduğu belirtiliyor. MetaMask daha fazla bilgi verene kadar etkilenen dilimin tam kapsamı belirsizliğini koruyor.
Kullanıcılar ve stETH Sahipleri İçin Anlamı Ne?
Lido'nun mesajı, Lido aracılığıyla stake edilen ETH'yi ve birikmiş ödüllerini temsil eden stETH sahipleri için oldukça netti: Herhangi bir işlem yapılması gerekmiyor. Protokol, stake etmeyi birçok operatöre yayıyor, bu nedenle bir operatörün doğrulayıcılarına maruz kalmak, o operatörde doğrudan pozisyon tutmakla aynı şey değil. Etkilenen doğrulayıcılara bağlı ETH'nin, çıkış, çekme ve yeniden giriş süreci tamamlandıkça kademeli olarak geri dönmesi bekleniyor. stETH sahiplerine, herhangi bir şeyi geri çekmeleri veya taşımaları gerekmediği söylendi.
MetaMask cüzdan kullanıcıları için de şirketin pozisyonu değişmedi. Şirket, cüzdanlara yönelik acil bir tehdit bulmadığını ve kullanıcılardan varlıklarını başka yere taşımalarını istemediğini söylüyor. Ancak bu, olayın önemsiz olduğu anlamına gelmiyor. Bu olay, Ethereum'un staking ekonomisinin ne kadarının, blok zincirinin temel kurallarının dışında kalan işletim altyapısına bağlı olduğunu vurguluyor. Bir sağlayıcı, para çekme anahtarlarını kendi elinden uzak tutabilir ve yine de garip bir şey tespit ettiğinde doğrulayıcıları durdurmaya karar verebilir. Staking'de güvenlik sadece protokolle ilgili değil; aynı zamanda onu çalıştırmak için kullanılan makineler ve kimlik bilgileriyle de ilgilidir.
Bir sonraki önemli kilometre taşları, 7 Ekim civarında doğrulayıcıların sistemden ayrılmasının tamamlanması ve para çekme ve yeniden giriş döngüsünün gerçek süresidir. Süreç tahmini 45 günlük süre içinde kalırsa, acil maliyet çoğunlukla kaçırılan ödüller ve operasyonel aksaklıklardan ibaret olacaktır. Yeni ayrıntılar daha derin bir erişimi ortaya çıkarırsa, değerlendirme değişebilir. Şimdilik, kamu kayıtları temkinli bir tepkiyi, küçük bir onaylanmış ödül sapmasını ve büyük ancak doğrulanmamış bir doğrulayıcı ayrılma tahminini göstermektedir. Bu aşamada kullanıcı cüzdanlarında veya stake edilmiş anaparada onaylanmış bir kayıp yoktur.
Bu olay, büyük staking hizmetlerinin, altyapı şüpheli göründüğünde, tam tablo netleşmeden bile hızlı hareket edebileceğini hatırlatıyor. MetaMask, kesinlik beklemek yerine etkilenen doğrulayıcılardan çıkmayı ve kesinti süresini üstlenmeyi tercih etti. Lido, stETH sahiplerini müdahale etmelerini istemeden bilgilendirdi. Bir araştırmacının zincir üzerindeki bulguları şimdiye kadar en spesifik kanıtı sağlarken, MetaMask'ın kendi açıklaması eksik kalıyor. Kullanıcılar resmi güncellemeleri takip etmeye devam edebilir, ancak mevcut gerçekler paniği desteklemiyor. Temel ayrım, staking altyapısındaki bir güvenlik sorunu ile sıradan MetaMask cüzdanlarının güvenliği arasında.
