Was ist passiert?
MetaMask, eine der am weitesten verbreiteten Ethereum-Wallets, hat einen Sicherheitsvorfall gemeldet, der einen Teil seiner Infrastruktur betraf. Als vorsorgliche Maßnahme begann der Dienst MetaMask Staking, mit dem Lido-Protokoll verbundene Ethereum-Validatoren zurückzuziehen (zu exitieren). Dies trieb laut Quellen die Zahl der Validatoren-Auszahlungen im Netzwerk auf das höchste Niveau seit neun Monaten.
Ein Validator ist ein Teilnehmer des Ethereum-Netzwerks, der für hinterlegte 32 ETH Transaktionen verifiziert und Blöcke vorschlägt, wofür er Belohnungen erhält. Lido ist das größte Liquid-Staking-Protokoll auf Ethereum, über das ETH gestaked werden kann, ohne einen eigenen Node zu betreiben. Der Rückzug einer größeren Menge von Validatoren auf einmal reiht sich in die sogenannte Exit-Warteschlange (Exit Queue) ein, die begrenzt, wie viele Validatoren das Netzwerk in einem bestimmten Zeitraum verlassen können.
Wie kam es zu dem Vorfall?
Laut dem Portal BitHub.pl bemerkte das MetaMask-Team bei der Überprüfung der Funktionsweise seiner Systeme Unstimmigkeiten im Fluss der von Validatoren generierten Transaktionsgebühren.
Ein On-Chain-Sicherheitsforscher, der unter dem Namen Kaden auftritt, gab laut CryptoSlate an, dass die Analyse eine Umleitung der Belohnungen aus Transaktionsgebühren zeigte. Von 19 Validatoren, die einen Block vorschlugen, sollen bei 18 die Belohnungen auf eine über Tornado Cash finanzierte Adresse umgeleitet worden sein. Tornado Cash ist ein Protokoll zur Wahrung der Privatsphäre auf Ethereum, das Transaktionen mischt und anonymisiert.
Ein wichtiges Detail: Laut derselben Quelle erbeutete der Angreifer tatsächlich nur einen sehr kleinen Teil der Mittel (in der Größenordnung eines Bruchteils eines ETH). Das Ausmaß des tatsächlichen Schadens erscheint also unverhältnismäßig geringer als die Menge an ETH, die MetaMask vorsorglich zurückzieht.
Wie viel ETH wird verschoben?
| Angabe | Wert | Quelle |
|---|---|---|
| Vorsorglich exitierte Validatoren | ca. 17.000 | Kaden (via CryptoSlate) |
| ETH-Volumen | ca. 523.000 ETH | Kaden (via CryptoSlate) |
| Blockvorschlagende Validatoren mit umgeleiteten Gebühren | 18 von 19 | Kaden (via CryptoSlate) |
| Dauer von Exit, Auszahlung und Wiedereintritt | bis zu 45 Tage | MetaMask (via Decrypt, Incrypted) |
Die Zahlen zur Anzahl der Validatoren und zum ETH-Volumen stammen aus der Analyse eines unabhängigen Forschers, nicht direkt aus einer offiziellen Stellungnahme von MetaMask. Betrachten Sie sie daher als wahrscheinlich, nicht als vom Unternehmen bestätigt.
Sind die Wallets der Nutzer gefährdet?
MetaMask gab laut den Portalen Decrypt und Incrypted an, keine direkte Bedrohung für die Wallets der Nutzer festgestellt zu haben. Das Unternehmen teilte zugleich mit, dass es das Problem in Zusammenarbeit mit externen Partnern und Experten für Cybersicherheit löst.
Die wichtigste praktische Auswirkung für Staker ist also zeitlicher, nicht zwangsläufig verlustbehafteter Natur: Aus Lido zurückgezogene ETH können laut MetaMask bis zu 45 Tage für die Rückkehr brauchen, da der gesamte Zyklus den Exit des Validators, die Auszahlung und einen eventuellen Wiedereintritt umfasst. Die Massenauszahlungen verlängern zudem die Exit-Warteschlange für alle anderen Staker im Netzwerk, nicht nur für MetaMask-Kunden.
Was ist bisher unklar?
Die öffentlich verfügbaren Informationen geben auf einige zentrale Fragen keine Antwort. Es ist nicht bestätigt, wie genau der Angreifer in die Infrastruktur eindrang, ob es sich um eine Kompromittierung von Schlüsseln, Software oder eines externen Dienstes handelte. Auch die genaue Höhe der entwendeten Mittel ist nicht offiziell bestätigt, abgesehen davon, dass sie als gering erscheint. Und MetaMask hat die vom unabhängigen Forscher angegebene genaue Zahl der zurückgezogenen Validatoren bislang öffentlich nicht belegt.
Worauf man bei ähnlichen Vorfällen achten sollte
Bei dieser Art von Ereignissen lohnt es sich, drei Dinge zu beobachten: die offizielle Post-mortem-Analyse von MetaMask (was genau versagt hat), die Länge der Exit-Warteschlange für Validatoren auf Ethereum (wie stark der Massen-Exit die Auszahlungen für alle verlangsamt) und ob sich die vom unabhängigen Forscher genannten Zahlen bestätigen oder korrigiert werden. charliedesk wird diese Angaben verfolgen und mit dem vergleichen, was MetaMask letztlich offiziell bekannt gibt.