- MetaMask 在發現其部分基礎設施存在安全問題後，出於謹慎考慮，正在將受影響的以太坊驗證者從 Lido 中移除。
- 公司說有 目前沒有立即出現危險跡象。 已將資金轉移到 MetaMask 錢包，並且沒有要求用戶轉移資金。
- 一位研究人員發現 約 0.36 ETH 區塊獎勵被發送到了意想不到的地址；估計有 17,000 個驗證者和 523,000 個 ETH 尚未得到證實。
- Lido預計最後受影響的驗證者將在 十月7完全提款和重新入場可能需要大約 45 天。
MetaMask 發現其以太坊質押服務的部分基礎設施存在安全問題，該公司已開始將受影響的驗證節點離線以採取安全措施。這家錢包提供商表示，此舉是預防性的。根據其公開更新，目前尚未發現任何跡象表明普通 MetaMask 錢包面臨直接風險。這一點至關重要，因為問題出在質押操作本身，而不是大多數用戶用來持有代幣的錢包軟體。
該公司週三首次披露了這一情況，稱正在內部處理持續存在的威脅，同時引入了外部安全合作夥伴和顧問。該公司沒有透露被入侵的系統名稱，也沒有解釋訪問權限是如何獲得的，更沒有提供涉事驗證者的具體人數。目前，向用戶傳達的主要訊息是，沒有人被要求轉移資金或更改設定。這種冷靜的指導固然有用，但也留下了許多技術問題懸而未決。
MetaMask表示錢包目前沒有立即風險
MetaMask在更新聲明中表示，這次事件影響的是其部分基礎設施，而非用戶控制的錢包。該公司稱，尚未發現MetaMask錢包面臨直接威脅，這點在多份報告中都有提及。同時，MetaMask並未明確表示此事已徹底結束。目前調查仍在進行中，隨著公司對事件的了解不斷深入，預計將公佈更多細節。
這種措辭留有餘地。一家大型錢包提供商的安全事件聽起來令人擔憂，但風險程度取決於哪些系統受到影響。 MetaMask 強調，其質押作業是非託管的，並且不管理客戶委託的 ETH 的提現金鑰。簡而言之，該公司可能運行驗證交易的機器，而用戶可以自行控制其質押代幣的提現方式。這種分離是該公司聲稱錢包目前沒有面臨直接威脅的關鍵。
儘管如此，細節的缺失仍然令那些希望了解真相的用戶感到沮喪。 MetaMask 尚未說明此事件是漏洞、未經授權的訪問，還是其他類型的操作故障。它也未確認有多少驗證節點受到影響，或是否有任何用戶資料外洩。對於用戶而言，切實可行的建議很簡單：堅持使用官方管道，忽略那些索取助記詞的緊急訊息，並對社群媒體上的謠言保持警惕。網路釣魚攻擊往往發生在真實的安全新聞之後，因此，未經請求的警告可能與最初的安全事件一樣危險。
出於安全考慮，驗證人員從麗都出口離開
事件的焦點在於質押方面，各方的因應措施更加明顯。與多個節點營運商合作的流動性質押協議 Lido 表示，MetaMask Staking 已開始採取預防措施，以保護與其營運的以太坊驗證節點關聯的客戶資產。這些驗證節點已於週三開始退出 Lido 系統。 MetaMask Portfolio 透過 Lido 和 Rocket Pool 提供池化質押、驗證節點質押和流動性質押等服務，因此此次退出僅限於受影響的運營，而非全面關閉所有質押渠道。此次行動的目標是 MetaMask 營運的驗證節點，而非整個以太坊。
Lido 表示，最後一批受影響的驗證節點應在 10 月 7 日前完成退出，但這並不意味著 ETH 會立即恢復運作。完整的流程包括退出、提取和重新加入質押集。由於以太坊需要排隊等待新的驗證節點，這個往返過程可能需要大約 45 天。 Lido Finance 的開發者 Will Shannon 解釋說，由 MetaMask 營運的驗證節點所持有的 ETH 將隨著每個驗證節點完成退出流程而逐步返回協議。在此期間，受影響的驗證節點將停止產生正常的質押獎勵。
如果驗證節點在退出完成前離線，也會面臨懲罰風險。但這並不意味著發生了罰沒事件。罰沒是一種更嚴厲的懲罰，用於驗證節點違反共識規則（例如簽署衝突區塊）的情況。 MetaMask 和 Lido 均未通報發生罰沒事件。他們所描述的是一種預防性退出，以及驗證節點離線期間的暫時性收入損失。這裡需要區分損失的獎勵和損失的本金。
小額獎勵轉移，大額未證實估計
一位名為Kaden的研究員透過分析鏈上活動，讓這起事件更加具體化。根據分析，19個由MetaMask營運的驗證節點中，有18個收到了區塊生產獎勵，並將這些獎勵發送到了一個意想不到的地址。估計金額約為0.36 ETH，與質押作業的規模相比，這筆金額微不足道。這項發現的意義不在於涉及的金額，而是它所揭示的資訊：有人能夠篡改與驗證節點獎勵相關的設定。這種權限可以在不觸及質押本金的情況下轉移收益。
技術上的差異有助於解釋目前報告的損失有限。以太坊允許業者設定一個用於接收交易手續費和區塊獎勵的地址，該地址與控制質押 ETH 本身的提現憑證是分開的。如果攻擊者僅更改手續費接收地址，他們就可以轉移正在進行的獎勵，但無法直接轉移原始質押。更嚴重的情況涉及簽署金鑰，這可能使惡意行為者能夠強制執行相互矛盾的證明並觸發罰沒。目前尚未證實出現這種情況。迄今為止的公開證據表明，被盜的是獎勵，而非存款。
Kaden 也估計，此次預防性退出涉及約 17,000 個驗證節點和約 523,000 個 ETH。 MetaMask 尚未公開確認這些數字。因此，最好將其視為基於可見網路數據的外部估計，而非官方公司數據。即便如此，其規模仍值得關注。 MetaMask 網站顯示，其基礎設施管理超過 3 億美元的 ETH 質押，使其成為希望參與以太坊質押的用戶的重要入口。在 MetaMask 提供更多資訊之前，受影響的具體範圍仍不確定。
這對用戶和stETH持有者意味著什麼
對於 stETH 持有者（stETH 代表透過 Lido 質押的 ETH 及其累積獎勵），Lido 的訊息非常明確：無需採取任何行動。該協議將質押分散到多個運營商，因此持有某個運營商的驗證者並不等同於直接持有該運營商的頭寸。與受影響的驗證者關聯的 ETH 預計將隨著退出、提現和重新進入流程的進行而逐步返還。 stETH持有者已被告知無需贖回或轉移任何資產。
對於MetaMask錢包的日常用戶而言，該公司的立場也未改變。 MetaMask表示，目前尚未發現錢包面臨直接威脅，也未要求用戶轉移資產。但這並不意味著這次事件無關緊要。它凸顯了以太坊質押經濟在很大程度上依賴於運行在區塊鏈核心規則之外的基礎設施。服務提供者可以自行保管提現金鑰，並在偵測到異常情況時暫停驗證者。質押安全不僅取決於協議本身，還取決於運行協議的機器和憑證。
下一個重要的里程碑是驗證者退出預計將於10月7日左右完成，以及實際的提現和重新加入週期持續時間。如果整個流程在預估的45天內完成，那麼直接損失主要體現在獎勵損失和營運中斷。如果新的細節揭示更深層的訪問，評估結果可能會有所改變。目前，公開記錄顯示各方反應謹慎，已確認的獎勵轉移數量較少，但驗證者退出數量估計較大，只是尚未得到證實。現階段尚未確認用戶錢包或質押本金的損失。
這次事件提醒我們，大型質押服務可以在基礎設施出現可疑跡象時迅速採取行動，即便在情況尚未完全明朗之前也是如此。 MetaMask 選擇退出受影響的驗證節點並自行承擔停機時間，而不是等待最終結果。 Lido 則在未要求 stETH 持有者介入的情況下，及時向他們通報了情況。目前，研究人員的鏈上發現提供了最確鑿的證據，而 MetaMask 本身的解釋仍不完整。用戶可以繼續關注官方更新，但目前的事實並不支持恐慌。關鍵在於質押基礎設施的安全問題與普通 MetaMask 錢包的安全問題之間的差異。
