Co se stalo?
MetaMask, jedna z nejrozšířenějších Ethereum peněženek, oznámil bezpečnostní incident, který zasáhl část jeho infrastruktury. Jako preventivní opatření začala služba MetaMask Staking stahovat (exitovat) Ethereum validátory spojené s protokolem Lido. To podle zdrojů vyhnalo počet výběrů validátorů na síti na nejvyšší úroveň za devět měsíců.
Validátor je účastník Ethereum sítě, který za vložených 32 ETH ověřuje transakce a navrhuje bloky, za což dostává odměny. Lido je největší likviditní staking protokol na Ethereu, přes který lze stakovat ETH bez provozování vlastního uzlu. Výběr většího množství validátorů najednou se řadí do takzvané fronty na výstup (exit queue), která omezuje, kolik validátorů může síť opustit za daný čas.
Jak k incidentu došlo?
Podle serveru BitHub.pl si tým MetaMasku při kontrole fungování svých systémů všiml nesrovnalostí v toku transakčních poplatků generovaných validátory.
On-chain bezpečnostní výzkumník vystupující jako Kaden podle CryptoSlate uvedl, že analýza ukázala přesměrování odměn z transakčních poplatků. Z 19 validátorů, které navrhly blok, mělo být u 18 odměny odkloněny na adresu financovanou přes Tornado Cash. Tornado Cash je protokol pro zajištění soukromí na Ethereu, který mixuje a anonymizuje transakce.
Důležitý detail: podle téhož zdroje útočník reálně zachytil jen velmi malou část prostředků (řádově zlomek ETH). Rozsah skutečné škody tedy vypadá nepoměrně menší než objem ETH, který MetaMask preventivně stahuje.
Kolik ETH se přesouvá?
| Údaj | Hodnota | Zdroj |
|---|---|---|
| Preventivně exitované validátory | cca 17 000 | Kaden (via CryptoSlate) |
| Objem ETH | cca 523 000 ETH | Kaden (via CryptoSlate) |
| Validátory navrhující blok s odkloněnými poplatky | 18 z 19 | Kaden (via CryptoSlate) |
| Doba výstupu, výplaty a opětovného vstupu | až 45 dní | MetaMask (via Decrypt, Incrypted) |
Čísla o počtu validátorů a objemu ETH pocházejí z analýzy nezávislého výzkumníka, nikoli přímo z oficiálního vyjádření MetaMasku. Berte je proto jako pravděpodobná, nikoli potvrzená firmou.
Jsou ohrožené peněženky uživatelů?
MetaMask podle serverů Decrypt a Incrypted uvedl, že nezjistil přímou hrozbu pro peněženky uživatelů. Firma zároveň sdělila, že problém řeší ve spolupráci s externími partnery a odborníky na kybernetickou bezpečnost.
Hlavní praktický dopad pro stakery je tedy časový, ne nutně ztrátový: ETH stažené z Lido se podle MetaMasku může vracet až 45 dní, protože celý cyklus zahrnuje výstup validátoru, výplatu a případný opětovný vstup. Hromadné výběry navíc prodlužují frontu na výstup pro všechny ostatní stakery na síti, ne jen pro klienty MetaMasku.
Co zatím není jasné?
Veřejně dostupné informace nedávají odpověď na několik klíčových otázek. Není potvrzeno, jak přesně útočník do infrastruktury pronikl, jestli šlo o kompromitaci klíčů, softwaru nebo externí služby. Není oficiálně potvrzena ani přesná výše zcizených prostředků, kromě toho, že se jeví jako nízká. A MetaMask zatím veřejně nedoložil přesné číslo stažených validátorů, které udává nezávislý výzkumník.
Na co u podobných incidentů sledovat
U tohoto typu událostí se vyplatí sledovat tři věci: oficiální post-mortem od MetaMasku (co přesně selhalo), délku fronty na výstup validátorů na Ethereu (jak moc hromadný exit zpomalí výběry pro všechny) a to, zda se potvrdí, nebo upraví čísla uváděná nezávislým výzkumníkem. charliedesk bude tyto údaje sledovat a porovná je s tím, co nakonec MetaMask oficiálně oznámí.