- MetaMask Lido đang loại bỏ các trình xác thực Ethereum bị ảnh hưởng khỏi hệ thống như một biện pháp phòng ngừa sau khi phát hiện ra một lỗ hổng bảo mật trong một phần cơ sở hạ tầng của nó.
- Công ty nói rằng nó có Không có dấu hiệu nguy hiểm ngay lập tức. vào ví MetaMask và không yêu cầu người dùng chuyển tiền.
- Một nhà nghiên cứu đã phát hiện ra khoảng 0.36 ETH Trong phần thưởng khối được gửi đến một địa chỉ không mong đợi; ước tính về 17,000 người xác thực và 523,000 ETH vẫn chưa được xác nhận.
- Lido dự kiến các trình xác thực bị ảnh hưởng cuối cùng sẽ rời đi vào lúc... Tháng Mười 7Quá trình rút tiền và tái nhập cảnh hoàn toàn có thể mất khoảng 45 ngày.
MetaMask đang phải đối mặt với một vấn đề bảo mật ảnh hưởng đến một phần cơ sở hạ tầng đằng sau dịch vụ staking Ethereum của họ, và công ty đã bắt đầu tạm ngừng hoạt động các trình xác thực bị ảnh hưởng như một biện pháp phòng ngừa . Nhà cung cấp ví cho biết động thái này mang tính phòng ngừa. Theo thông báo công khai của họ, họ chưa thấy bất cứ điều gì cho thấy nguy hiểm tức thời đối với các ví MetaMask thông thường. Sự khác biệt này rất quan trọng, bởi vì vấn đề nằm ở hoạt động staking chứ không phải ở phần mềm ví mà hầu hết mọi người sử dụng để giữ token.
Công ty lần đầu tiên mô tả tình hình vào thứ Tư, cho biết họ đang xử lý mối đe dọa đang diễn ra nội bộ đồng thời hợp tác với các đối tác và cố vấn an ninh bên ngoài. Họ không nêu tên hệ thống bị xâm phạm, không giải thích cách thức truy cập được thực hiện, cũng như không đưa ra con số chính xác về số lượng trình xác thực liên quan. Hiện tại, thông điệp chính dành cho người dùng là không ai được yêu cầu chuyển tiền hoặc thay đổi cài đặt . Hướng dẫn bình tĩnh đó rất hữu ích, nhưng nó cũng để lại nhiều câu hỏi kỹ thuật chưa được giải đáp.
MetaMask cho biết ví điện tử hiện chưa gặp rủi ro.
Trong bản cập nhật của mình, MetaMask cho rằng sự cố này ảnh hưởng đến một phần cơ sở hạ tầng của chính họ, chứ không phải ví điện tử do người dùng kiểm soát. Công ty cho biết họ chưa xác định được mối đe dọa tức thời nào đối với ví MetaMask, một điểm được lặp lại trong nhiều báo cáo. Đồng thời, họ tránh nói rằng vấn đề đã hoàn toàn được giải quyết. Cuộc điều tra vẫn đang tiếp diễn, và dự kiến sẽ có thêm thông tin chi tiết khi công ty tìm hiểu được chuyện gì đã xảy ra.
Cách diễn đạt đó vẫn để ngỏ nhiều sắc thái. Một sự cố bảo mật tại một nhà cung cấp ví điện tử lớn có thể nghe có vẻ đáng báo động, nhưng mức độ rủi ro phụ thuộc vào hệ thống nào bị ảnh hưởng. MetaMask đã nhấn mạnh rằng hoạt động đặt cọc của họ là phi lưu giữ và họ không quản lý các khóa rút tiền cho ETH được ủy thác của khách hàng. Nói một cách đơn giản, công ty có thể vận hành các máy móc xác thực giao dịch, trong khi người dùng vẫn giữ quyền kiểm soát riêng biệt đối với việc rút tiền xu đã đặt cọc của họ. Sự tách biệt đó là lý do cốt lõi khiến công ty cho rằng ví điện tử không phải đối mặt với mối đe dọa tức thời.
Tuy nhiên, việc thiếu thông tin chi tiết đã khiến những người muốn có cái nhìn rõ ràng cảm thấy thất vọng. MetaMask chưa cho biết liệu vấn đề này liên quan đến lỗ hổng bảo mật, truy cập trái phép hay một loại lỗi vận hành nào khác. Họ cũng chưa xác nhận có bao nhiêu trình xác thực bị ảnh hưởng hoặc liệu dữ liệu người dùng nào bị lộ hay không . Đối với người dùng, lời khuyên thiết thực rất đơn giản: hãy sử dụng các kênh chính thức, bỏ qua các tin nhắn khẩn cấp yêu cầu cụm từ hạt giống và thận trọng với các tin đồn trên mạng xã hội. Các nỗ lực lừa đảo thường xuất hiện sau các tin tức bảo mật thực sự, vì vậy các cảnh báo không được yêu cầu có thể nguy hiểm không kém gì sự cố ban đầu.
Các nhân viên kiểm định rời đi qua Lido như một biện pháp phòng ngừa.
Phản hồi trở nên rõ ràng hơn ở khía cạnh staking. Lido, một giao thức staking thanh khoản hoạt động với nhiều nhà điều hành node, cho biết MetaMask Staking đã bắt đầu thực hiện các biện pháp phòng ngừa để bảo vệ tài sản của khách hàng gắn liền với các trình xác thực Ethereum mà họ vận hành. Các trình xác thực đó bắt đầu rời khỏi hệ thống của Lido vào thứ Tư. MetaMask Portfolio cung cấp staking thông qua pooled staking, validator staking và liquid staking thông qua Lido và Rocket Pool, vì vậy việc rút lui chỉ áp dụng cho các hoạt động bị ảnh hưởng chứ không phải là việc ngừng hoạt động hàng loạt mọi tuyến staking. Hành động này nhắm vào các trình xác thực mà MetaMask vận hành, chứ không phải toàn bộ Ethereum.
Lido cho biết các trình xác thực bị ảnh hưởng cuối cùng sẽ hoàn tất quá trình rút lui vào ngày 7 tháng 10, nhưng ngày đó không có nghĩa là ETH sẽ hoạt động trở lại ngay lập tức. Chu trình đầy đủ bao gồm việc rút lui, rút tiền và tham gia lại vào hệ thống staking. Vì Ethereum có một hàng đợi cho các trình xác thực mới, nên quá trình khứ hồi này có thể mất khoảng 45 ngày. Will Shannon, một nhà phát triển tại Lido Finance, giải thích rằng ETH từ các trình xác thực do MetaMask vận hành sẽ dần dần quay trở lại giao thức khi mỗi trình xác thực hoàn tất quá trình. Trong khoảng thời gian đó, các trình xác thực bị ảnh hưởng sẽ ngừng tạo ra phần thưởng staking thông thường.
Cũng có rủi ro bị phạt nếu các trình xác thực ngừng hoạt động trước khi quá trình thoát khỏi hệ thống hoàn tất. Điều đó không có nghĩa là đã xảy ra sự kiện phạt nặng. Phạt nặng là hình phạt nghiêm khắc hơn nhiều, được sử dụng khi các trình xác thực vi phạm các quy tắc đồng thuận, chẳng hạn như ký các khối xung đột. Cả MetaMask và Lido đều chưa báo cáo về việc xảy ra phạt nặng. Những gì họ mô tả là một sự rút lui mang tính phòng ngừa và mất thu nhập tạm thời trong khi các trình xác thực ngừng hoạt động. Sự khác biệt giữa mất phần thưởng và mất vốn gốc là rất quan trọng ở đây.
Chương trình khuyến mãi phần thưởng nhỏ, ước tính lớn chưa được xác nhận.
Một nhà nghiên cứu có tên Kaden đã làm rõ hơn sự việc bằng cách phân tích hoạt động trên chuỗi. Theo phân tích đó, 18 trong số 19 trình xác thực do MetaMask vận hành nhận được khoản thanh toán sản xuất khối đã gửi phần thưởng đó đến một địa chỉ không mong muốn. Số tiền ước tính khoảng 0.36 ETH, một khoản tiền nhỏ so với quy mô của hoạt động đặt cọc. Phát hiện này không quan trọng vì số tiền liên quan mà quan trọng hơn vì những gì nó gợi ý: ai đó có khả năng thay đổi một thiết lập liên quan đến phần thưởng cho trình xác thực. Loại quyền truy cập đó có thể chuyển hướng thu nhập mà không cần động đến số vốn gốc đã đặt cọc.
Sự khác biệt về mặt kỹ thuật giúp giải thích mức độ thiệt hại hạn chế được báo cáo cho đến nay. Ethereum cho phép người vận hành thiết lập địa chỉ người nhận phí cho phí giao dịch và phần thưởng khối, tách biệt với thông tin xác thực rút tiền kiểm soát chính số ETH đã được đặt cọc. Nếu kẻ tấn công chỉ thay đổi người nhận phí, chúng có thể chuyển hướng phần thưởng đang diễn ra. Chúng không thể đơn giản chuyển số tiền đặt cọc ban đầu. Một kịch bản nghiêm trọng hơn sẽ liên quan đến việc ký khóa, điều này có thể cho phép kẻ xấu buộc phải có các chứng thực mâu thuẫn và gây ra việc phạt. Chưa có kết quả nào như vậy được xác nhận. Bằng chứng công khai cho đến nay chỉ ra rằng phần thưởng đã bị chuyển hướng, chứ không phải tiền gửi bị đánh cắp.
Kaden cũng ước tính rằng các đợt rút lui phòng ngừa liên quan đến khoảng 17,000 trình xác thực và khoảng 523,000 ETH. MetaMask chưa công khai xác nhận những con số này. Do đó, chúng được xem là ước tính bên ngoài dựa trên dữ liệu mạng có thể nhìn thấy, chứ không phải là con số chính thức của công ty. Quy mô vẫn rất đáng chú ý. Trang web của MetaMask cho biết họ quản lý hơn 3 tỷ đô la ETH thông qua cơ sở hạ tầng của mình, biến nó trở thành cổng chính cho những người dùng muốn tiếp cận với việc đặt cược Ethereum. Phạm vi chính xác của phần bị ảnh hưởng vẫn chưa chắc chắn cho đến khi MetaMask cung cấp thêm thông tin.
Ý nghĩa đối với người dùng và người sở hữu stETH
Đối với những người nắm giữ stETH, token đại diện cho ETH được stake thông qua Lido và phần thưởng tích lũy của nó, thông điệp từ Lido rất rõ ràng: không cần thực hiện bất kỳ hành động nào. Giao thức này phân bổ việc stake cho nhiều nhà điều hành, vì vậy việc tiếp xúc với các trình xác thực của một nhà điều hành không giống như việc nắm giữ vị thế trực tiếp trong nhà điều hành đó. ETH gắn liền với các trình xác thực bị ảnh hưởng dự kiến sẽ được hoàn trả dần dần khi quá trình rút tiền, thoái vốn và tái tham gia diễn ra. Những người nắm giữ stETH đã được thông báo rằng họ không cần phải đổi hoặc chuyển bất cứ thứ gì.
Đối với người dùng ví MetaMask thông thường, lập trường của công ty vẫn không thay đổi. Họ cho biết chưa phát hiện mối đe dọa tức thời nào đối với ví và chưa yêu cầu người dùng chuyển tài sản. Điều đó không làm cho sự cố trở nên không quan trọng. Nó cho thấy nền kinh tế staking của Ethereum phụ thuộc rất nhiều vào cơ sở hạ tầng vận hành nằm ngoài các quy tắc cốt lõi của blockchain. Một nhà cung cấp có thể giữ khóa rút tiền ngoài tầm kiểm soát của chính mình và vẫn có thể quyết định tạm dừng các trình xác thực khi phát hiện điều gì đó bất thường. Bảo mật trong staking không chỉ liên quan đến giao thức; mà còn liên quan đến các máy móc và thông tin xác thực được sử dụng để vận hành nó.
Các mốc quan trọng tiếp theo cần theo dõi là việc hoàn tất quá trình rút lui của các trình xác thực vào khoảng ngày 7 tháng 10 và thời gian thực tế của chu kỳ rút tiền và tái tham gia. Nếu quá trình này diễn ra trong khung thời gian ước tính 45 ngày, chi phí trước mắt chủ yếu là mất phần thưởng và gián đoạn hoạt động. Nếu có thông tin mới tiết lộ về việc truy cập sâu hơn, đánh giá có thể thay đổi. Hiện tại, hồ sơ công khai cho thấy phản ứng thận trọng, một lượng nhỏ phần thưởng bị chuyển hướng đã được xác nhận và một ước tính lớn nhưng chưa được xác nhận về việc các trình xác thực rời đi. Hiện chưa có trường hợp nào xác nhận mất ví người dùng hoặc vốn gốc đã được đặt cọc.
Sự việc này nhắc nhở chúng ta rằng các dịch vụ staking lớn có thể hành động nhanh chóng khi cơ sở hạ tầng có vẻ đáng ngờ, ngay cả trước khi toàn bộ bức tranh được làm rõ. MetaMask đã chọn cách loại bỏ các trình xác thực bị ảnh hưởng và chấp nhận thời gian ngừng hoạt động thay vì chờ đợi sự chắc chắn. Lido đã thông báo cho những người nắm giữ stETH mà không yêu cầu họ can thiệp. Phát hiện trên chuỗi của một nhà nghiên cứu đã cung cấp bằng chứng cụ thể nhất cho đến nay, trong khi lời giải thích của MetaMask vẫn chưa đầy đủ. Người dùng có thể tiếp tục theo dõi các bản cập nhật chính thức, nhưng các thông tin hiện tại không cho phép hoảng loạn. Sự khác biệt chính nằm ở vấn đề bảo mật trong cơ sở hạ tầng staking và sự an toàn của các ví MetaMask thông thường.
