Que s'est-il passé ?
MetaMask, l'un des portefeuilles Ethereum les plus répandus, a annoncé un incident de sécurité qui a touché une partie de son infrastructure. À titre de mesure préventive, le service MetaMask Staking a commencé à retirer (exiter) des validateurs Ethereum associés au protocole Lido. Selon certaines sources, cela a poussé le nombre de retraits de validateurs sur le réseau à son plus haut niveau depuis neuf mois.
Un validateur est un participant du réseau Ethereum qui, en échange de 32 ETH déposés, vérifie les transactions et propose des blocs, ce pour quoi il reçoit des récompenses. Lido est le plus grand protocole de liquid staking sur Ethereum, via lequel on peut staker des ETH sans exploiter son propre nœud. Le retrait d'un grand nombre de validateurs à la fois entre dans ce qu'on appelle la file d'attente de sortie (exit queue), qui limite le nombre de validateurs pouvant quitter le réseau sur une période donnée.
Comment l'incident s'est-il produit ?
Selon le site BitHub.pl, l'équipe de MetaMask a remarqué, lors d'un contrôle du fonctionnement de ses systèmes, des anomalies dans le flux des frais de transaction générés par les validateurs.
Un chercheur en sécurité on-chain se présentant sous le nom de Kaden a déclaré, d'après CryptoSlate, que l'analyse a révélé un détournement des récompenses issues des frais de transaction. Sur 19 validateurs ayant proposé un bloc, les récompenses de 18 d'entre eux auraient été détournées vers une adresse financée via Tornado Cash. Tornado Cash est un protocole de confidentialité sur Ethereum qui mixe et anonymise les transactions.
Un détail important : selon la même source, l'attaquant n'a réellement intercepté qu'une très faible partie des fonds (de l'ordre d'une fraction d'ETH). L'ampleur des dommages réels apparaît donc nettement inférieure au volume d'ETH que MetaMask retire par précaution.
Quel volume d'ETH est déplacé ?
| Donnée | Valeur | Source |
|---|---|---|
| Validateurs exités à titre préventif | env. 17 000 | Kaden (via CryptoSlate) |
| Volume d'ETH | env. 523 000 ETH | Kaden (via CryptoSlate) |
| Validateurs proposant un bloc avec frais détournés | 18 sur 19 | Kaden (via CryptoSlate) |
| Durée de sortie, versement et réentrée | jusqu'à 45 jours | MetaMask (via Decrypt, Incrypted) |
Les chiffres concernant le nombre de validateurs et le volume d'ETH proviennent de l'analyse d'un chercheur indépendant, et non directement d'une déclaration officielle de MetaMask. Considérez-les donc comme probables, et non comme confirmés par l'entreprise.
Les portefeuilles des utilisateurs sont-ils menacés ?
Selon les sites Decrypt et Incrypted, MetaMask a indiqué n'avoir détecté aucune menace directe pour les portefeuilles des utilisateurs. L'entreprise a par ailleurs fait savoir qu'elle traitait le problème en collaboration avec des partenaires externes et des experts en cybersécurité.
L'impact pratique principal pour les stakers est donc temporel, et pas nécessairement synonyme de perte : les ETH retirés de Lido peuvent, selon MetaMask, mettre jusqu'à 45 jours à revenir, car le cycle complet comprend la sortie du validateur, le versement et une éventuelle réentrée. De plus, les retraits massifs allongent la file d'attente de sortie pour tous les autres stakers du réseau, et pas seulement pour les clients de MetaMask.
Qu'est-ce qui n'est pas encore clair ?
Les informations publiquement disponibles n'apportent pas de réponse à plusieurs questions essentielles. Il n'est pas confirmé comment exactement l'attaquant a pénétré l'infrastructure, s'il s'agissait d'une compromission de clés, de logiciels ou d'un service externe. Le montant exact des fonds dérobés n'est pas non plus officiellement confirmé, si ce n'est qu'il semble faible. Et MetaMask n'a pas encore documenté publiquement le chiffre exact des validateurs retirés avancé par le chercheur indépendant.
Que surveiller lors d'incidents similaires
Pour ce type d'événements, il vaut la peine de surveiller trois choses : le post-mortem officiel de MetaMask (ce qui a exactement échoué), la longueur de la file d'attente de sortie des validateurs sur Ethereum (à quel point la sortie massive ralentira les retraits pour tout le monde) et le fait que les chiffres avancés par le chercheur indépendant soient confirmés ou révisés. charliedesk suivra ces données et les comparera à ce que MetaMask annoncera finalement de manière officielle.