- MetaMask виводить уражені валідатори Ethereum з Lido як запобіжний захід після виявлення проблеми безпеки в частині своєї інфраструктури.
- Компанія стверджує, що має жодних безпосередніх ознак небезпеки до гаманців MetaMask і не просив користувачів переказувати кошти.
- Дослідник помітив близько 0.36 ETH винагороди за блоки, надіслані на неочікувану адресу; оцінки щодо 17 000 валідаторів та 523 000 ETH залишаються непідтвердженими.
- Lido очікує, що останні уражені валідатори вийдуть до Жовтень 7, причому повне виведення та повторний вхід можуть тривати близько 45 днів.
Компанія MetaMask зіткнулася з проблемою безпеки, яка стосується частини інфраструктури її сервісу стейкінгу Ethereum, і компанія почала відключати уражені валідатори з мережі як запобіжний захід . Постачальник гаманців заявляє, що цей крок є запобіжним. Згідно з його публічним оновленням, він не бачив нічого, що вказувало б на безпосередню загрозу для звичайних гаманців MetaMask. Ця відмінність важлива, оскільки проблема полягає в операціях зі стейкінгу, а не в програмному забезпеченні гаманця, яке більшість людей використовує для зберігання токенів.
Компанія вперше описала ситуацію в середу, заявивши, що вона внутрішньо бореться з постійною загрозою, залучаючи зовнішніх партнерів та консультантів з безпеки. Вона не назвала скомпрометовану систему, не пояснила, як було отримано доступ, і не назвала точну кількість залучених валідаторів. Наразі головне повідомлення для користувачів полягає в тому, що нікого не просили переказати кошти чи змінити налаштування . Таке спокійне керівництво корисне, але воно також залишає багато технічних питань відкритими.
MetaMask заявляє, що гаманці не перебувають під безпосередньою загрозою
У своєму оновленні MetaMask описала інцидент як щось, що вплинуло на частину її власної інфраструктури, а не на гаманці, якими керують користувачі. Компанія заявила, що не виявила безпосередньої загрози для гаманців MetaMask, що повторювалося в кількох звітах. Водночас вона уникала заявити, що справу повністю закрито. Розслідування все ще триває, і очікується, що компанія з'явиться більше деталей, коли дізнається, що сталося.
Таке формулювання залишає місце для нюансів. Інцидент безпеки у великого постачальника гаманців може здатися тривожним, але профіль ризику залежить від того, які системи були зачеплені. MetaMask наголосила, що її операції зі стейкінгу не є кастодіальними та що вона не керує ключами виведення для делегованого клієнтами ETH. Простіше кажучи, фірма може керувати машинами, які перевіряють транзакції, тоді як користувачі зберігають окремий контроль над тим, де можна виводити їхні застейковані монети. Цей поділ є ключовим фактором, чому, за словами компанії, гаманці не стикаються з безпосередньою загрозою.
Тим не менш, брак деталей розчарував людей, які хочуть мати чітку картину. MetaMask не повідомила, чи стосувалася проблема вразливості, несанкціонованого доступу чи іншого типу операційного збою. Вона також не підтвердила, скільки валідаторів постраждало, чи були викриті будь-які дані користувачів . Для користувачів практична порада проста: дотримуйтесь офіційних каналів, ігноруйте термінові повідомлення із запитами на початкові фрази та обережно ставтеся до чуток у соціальних мережах. Спроби фішингу часто з'являються після реальних новин про безпеку, тому небажані попередження можуть бути такими ж небезпечними, як і початковий інцидент.
Валідатори виходять через Лідо як запобіжний захід
Реакція стає більш помітною саме на стороні стейкингу. Lido, протокол ліквідного стейкингу, який працює з кількома операторами вузлів, заявив, що MetaMask Staking почав вживати запобіжних заходів для захисту клієнтських активів, пов'язаних з валідаторами Ethereum, якими він керує. Ці валідатори почали залишати систему Lido у середу. MetaMask Portfolio пропонує стейкинг через пуловий стейкинг, стейкинг валідаторів та ліквідний стейкинг через Lido та Rocket Pool, тому вихід стосується лише постраждалих операцій, а не повного закриття кожного маршруту стейкингу. Дія спрямована на валідатори, які працює в MetaMask, а не на Ethereum в цілому.
Lido заявила, що останні валідатори, яких це стосується, повинні завершити свій вихід до 7 жовтня, але ця дата не означає, що ETH одразу повернеться до роботи. Повний цикл включає вихід, виведення та повторний вхід до стейкінгу. Оскільки в Ethereum є черга для нових валідаторів, цей шлях може тривати близько 45 днів. Вілл Шеннон, розробник Lido Finance, пояснив, що ETH від валідаторів, що керуються MetaMask, повертатиметься до протоколу поступово, оскільки кожен валідатор завершуватиме процес. Протягом цього проміжку валідатори, яких це стосується, перестають виробляти звичайні винагороди за стейкінг.
Також існує ризик штрафу, якщо валідатори вийдуть з мережі до завершення їхнього виходу. Це не означає, що відбулося слешування. Слешування – це набагато суворіше покарання, яке використовується, коли валідатори порушують правила консенсусу, наприклад, підписують конфліктуючі блоки. Ні MetaMask, ні Lido не повідомляли про випадки слешування. Вони описали лише запобіжний вихід та тимчасову втрату доходу, поки валідатори не працюють. Тут важлива різниця між втраченою винагородою та втраченою основною сумою.
Невелике відволікання на винагороду, великі непідтверджені оцінки
Дослідник під ім'ям Каден надав інциденту більш конкретної форми, проаналізувавши активність у мережі. Згідно з цим аналізом, 18 з 19 валідаторів, що керувалися MetaMask та отримували платежі за виробництво блоків, надіслали ці винагороди на неочікувану адресу. Орієнтовна сума становила близько 0.36 ETH, що є невеликою сумою в доларовому еквіваленті порівняно з розміром операції зі стейкінгу. Цей висновок має менше значення з огляду на суму задіяних коштів, і більше з огляду на те, що він говорить про те, що хтось мав можливість змінити налаштування, пов'язані з винагородами валідатора. Такий доступ може перенаправити дохід, не торкаючись основної суми стейкінгу.
Технічна відмінність допомагає пояснити обмежений збиток, про який повідомлялося наразі. Ethereum дозволяє операторам встановлювати адресу одержувача комісії для транзакцій та блокувати винагороди, окремо від облікових даних для виведення, які контролюють сам заставлений ETH. Якщо зловмисник змінює лише одержувача комісії, він може перенаправити поточні винагороди. Він не може просто перемістити початкову ставку. Більш серйозний сценарій включатиме підписання ключів, що може дозволити зловмиснику примусово встановити суперечливі підтвердження та спровокувати слешінг. Такого результату не було підтверджено. Публічні докази поки що вказують на перенаправлення винагород, а не на викрадені депозити.
Каден також підрахував, що запобіжні виходи стосувалися приблизно 17 000 валідаторів та близько 523 000 ETH. MetaMask публічно не підтверджувала ці цифри. Тому їх краще розглядати як зовнішню оцінку, засновану на видимих даних мережі, а не як офіційну цифру компанії. Масштаб все ще помітний. На веб-сайті MetaMask зазначено, що компанія управляє стейкінгом ETH на суму понад 3 мільярди доларів через свою інфраструктуру, що робить її основним шлюзом для користувачів, які хочуть мати доступ до стейкінгу Ethereum. Точний обсяг постраждалого сегмента залишається невідомим, доки MetaMask не надасть більше інформації.
Що це означає для користувачів та власників stETH
Для власників stETH, токена, що представляє ETH, розміщений через Lido, та його накопичені винагороди, повідомлення Lido було простим: жодних дій не потрібно. Протокол розподіляє стейкінг між багатьма операторами, тому вплив валідаторів одного оператора не те саме, що утримання прямої позиції в цьому операторі. Очікується, що ETH, пов'язаний із валідаторами, яких це стосується, поступово повернеться, оскільки процес виходу, виведення та повторного входу завершиться. Власникам stETH сказали, що їм не потрібно нічого викуповувати чи переміщувати.
Для звичайних користувачів гаманців MetaMask позиція компанії також не змінилася. Вона стверджує, що не виявила безпосередньої загрози для гаманців і не просила користувачів переміщувати активи. Це не робить інцидент неактуальним. Це підкреслює, наскільки економіка стекінгу Ethereum залежить від операційної інфраструктури, яка знаходиться поза основними правилами блокчейну. Постачальник може не давати ключам виведення коштів доступ до власних рук і все одно вирішувати призупинити валідатори, коли виявляє щось дивне. Безпека стекінгу стосується не лише протоколу; вона також стосується машин та облікових даних, що використовуються для його роботи.
Наступними корисними етапами є завершення виходу валідаторів приблизно 7 жовтня та фактична тривалість циклу виведення та повторного входу. Якщо процес залишиться в межах розрахункового 45-денного вікна, безпосередніми збитками будуть здебільшого втрачені винагороди та збої в роботі. Якщо нові деталі виявлять глибший доступ, оцінка може змінитися. Наразі публічні записи свідчать про обережну реакцію, невелике підтверджене перенаправлення винагород та велику, але непідтверджену оцінку кількості валідаторів, які виходять. На цьому етапі немає підтвердженої втрати гаманців користувачів або заставленої суми.
Цей епізод є нагадуванням про те, що великі стейкінг-сервіси можуть швидко діяти, коли інфраструктура виглядає підозрілою, ще до того, як повна картина стане зрозумілою. MetaMask вирішив вийти з уражених валідаторів і поглинути час простою, замість того, щоб чекати на певність. Lido інформував власників stETH, не просячи їх втручатися. Висновки дослідника в мережі надали найбільш конкретні докази наразі, тоді як власне пояснення MetaMask залишається неповним. Користувачі можуть продовжувати стежити за офіційними оновленнями, але поточні факти не підтверджують паніку. Ключовий розрив полягає між проблемою безпеки в стейкінг-інфраструктурі та безпекою звичайних гаманців MetaMask.
