Što se dogodilo?
MetaMask, jedan od najraširenijih Ethereum novčanika, objavio je sigurnosni incident koji je pogodio dio njegove infrastrukture. Kao preventivnu mjeru, usluga MetaMask Staking počela je povlačiti (exitirati) Ethereum validatore povezane s protokolom Lido. To je, prema izvorima, broj povlačenja validatora na mreži podiglo na najvišu razinu u devet mjeseci.
Validator je sudionik Ethereum mreže koji za uloženih 32 ETH provjerava transakcije i predlaže blokove, za što dobiva nagrade. Lido je najveći likvidnosni staking protokol na Ethereu, preko kojeg se može stakeati ETH bez pokretanja vlastitog čvora. Povlačenje većeg broja validatora odjednom svrstava se u takozvani red za izlazak (exit queue), koji ograničava koliko validatora može napustiti mrežu u određenom vremenu.
Kako je došlo do incidenta?
Prema portalu BitHub.pl, tim MetaMaska je tijekom provjere rada svojih sustava primijetio nepravilnosti u toku transakcijskih naknada koje generiraju validatori.
On-chain sigurnosni istraživač koji nastupa pod imenom Kaden, prema CryptoSlateu, naveo je da je analiza pokazala preusmjeravanje nagrada od transakcijskih naknada. Od 19 validatora koji su predložili blok, kod njih 18 nagrade su navodno bile preusmjerene na adresu financiranu preko Tornado Casha. Tornado Cash je protokol za zaštitu privatnosti na Ethereu, koji miješa i anonimizira transakcije.
Važan detalj: prema istom izvoru, napadač je stvarno presreo tek vrlo mali dio sredstava (reda veličine djelića ETH). Opseg stvarne štete stoga izgleda nesrazmjerno manji od količine ETH koju MetaMask preventivno povlači.
Koliko se ETH premješta?
| Podatak | Vrijednost | Izvor |
|---|---|---|
| Preventivno exitirani validatori | oko 17.000 | Kaden (via CryptoSlate) |
| Količina ETH | oko 523.000 ETH | Kaden (via CryptoSlate) |
| Validatori koji predlažu blok s preusmjerenim naknadama | 18 od 19 | Kaden (via CryptoSlate) |
| Vrijeme izlaska, isplate i ponovnog ulaska | do 45 dana | MetaMask (via Decrypt, Incrypted) |
Brojke o broju validatora i količini ETH potječu iz analize nezavisnog istraživača, a ne izravno iz službene izjave MetaMaska. Zato ih shvatite kao vjerojatne, a ne kao potvrđene od strane tvrtke.
Jesu li ugroženi novčanici korisnika?
MetaMask je, prema portalima Decrypt i Incrypted, naveo da nije utvrdio izravnu prijetnju za novčanike korisnika. Tvrtka je ujedno priopćila da problem rješava u suradnji s vanjskim partnerima i stručnjacima za kibernetičku sigurnost.
Glavni praktični učinak za stakere je dakle vremenski, ne nužno gubitak: ETH povučen s Lida se, prema MetaMasku, može vraćati i do 45 dana, jer cijeli ciklus uključuje izlazak validatora, isplatu i eventualni ponovni ulazak. Masovna povlačenja uz to produljuju red za izlazak za sve ostale stakere na mreži, ne samo za klijente MetaMaska.
Što zasad nije jasno?
Javno dostupne informacije ne daju odgovor na nekoliko ključnih pitanja. Nije potvrđeno kako je točno napadač prodro u infrastrukturu, je li se radilo o kompromitaciji ključeva, softvera ili vanjske usluge. Nije službeno potvrđen ni točan iznos otuđenih sredstava, osim toga da se čini niskim. A MetaMask zasad javno nije dokumentirao točan broj povučenih validatora koji navodi nezavisni istraživač.
Na što paziti kod sličnih incidenata
Kod ovog tipa događaja isplati se pratiti tri stvari: službeni post-mortem MetaMaska (što je točno zakazalo), duljinu reda za izlazak validatora na Ethereu (koliko će masovni exit usporiti povlačenja za sve) te hoće li se potvrditi ili korigirati brojke koje navodi nezavisni istraživač. charliedesk će pratiti te podatke i usporediti ih s onim što MetaMask na kraju službeno objavi.