MetaMask gestisce un incidente di sicurezza, i prelievi dei validatori Ethereum salgono al massimo degli ultimi nove mesi

Cosa è successo?

MetaMask, uno dei wallet Ethereum più diffusi, ha annunciato un incidente di sicurezza che ha colpito parte della sua infrastruttura. Come misura precauzionale il servizio MetaMask Staking ha iniziato a ritirare (exit) i validatori Ethereum collegati al protocollo Lido. Questo, secondo le fonti, ha spinto il numero di prelievi dei validatori sulla rete al livello più alto degli ultimi nove mesi.

Un validatore è un partecipante alla rete Ethereum che, a fronte dei 32 ETH depositati, verifica le transazioni e propone i blocchi, ricevendo in cambio delle ricompense. Lido è il più grande protocollo di liquid staking su Ethereum, tramite il quale è possibile mettere in staking gli ETH senza gestire un proprio nodo. Il prelievo di una grande quantità di validatori contemporaneamente rientra nella cosiddetta coda di uscita (exit queue), che limita quanti validatori possono lasciare la rete in un determinato tempo.

Come è avvenuto l'incidente?

Secondo il portale BitHub.pl il team di MetaMask, durante un controllo del funzionamento dei propri sistemi, ha notato delle anomalie nel flusso delle commissioni di transazione generate dai validatori.

Un ricercatore di sicurezza on-chain noto come Kaden, secondo CryptoSlate, ha riferito che l'analisi ha evidenziato un dirottamento delle ricompense derivanti dalle commissioni di transazione. Dei 19 validatori che avevano proposto un blocco, in 18 casi le ricompense sarebbero state deviate verso un indirizzo finanziato tramite Tornado Cash. Tornado Cash è un protocollo per la tutela della privacy su Ethereum che mescola e anonimizza le transazioni.

Un dettaglio importante: secondo la stessa fonte l'attaccante ha realmente intercettato solo una parte molto piccola dei fondi (nell'ordine di una frazione di ETH). L'entità del danno effettivo appare quindi sproporzionatamente inferiore al volume di ETH che MetaMask sta ritirando in via precauzionale.

Quanti ETH vengono spostati?

I numeri relativi al conteggio dei validatori e al volume di ETH provengono dall'analisi di un ricercatore indipendente, non direttamente da una dichiarazione ufficiale di MetaMask. Vanno quindi considerati probabili, non confermati dall'azienda.

I wallet degli utenti sono a rischio?

MetaMask, secondo i portali Decrypt e Incrypted, ha dichiarato di non aver rilevato una minaccia diretta per i wallet degli utenti. L'azienda ha inoltre comunicato di stare affrontando il problema in collaborazione con partner esterni ed esperti di cybersicurezza.

Il principale impatto pratico per gli staker è quindi temporale, non necessariamente una perdita: gli ETH ritirati da Lido, secondo MetaMask, possono tornare fino a 45 giorni dopo, perché l'intero ciclo comprende l'uscita del validatore, il pagamento e l'eventuale nuovo ingresso. I prelievi di massa inoltre allungano la coda di uscita per tutti gli altri staker della rete, non solo per i clienti di MetaMask.

Cosa non è ancora chiaro?

Le informazioni pubblicamente disponibili non danno risposta ad alcune domande chiave. Non è confermato come esattamente l'attaccante sia penetrato nell'infrastruttura, se si sia trattato di una compromissione di chiavi, software o di un servizio esterno. Non è ufficialmente confermata nemmeno l'esatta entità dei fondi sottratti, se non il fatto che appare contenuta. E MetaMask finora non ha documentato pubblicamente il numero preciso di validatori ritirati che indica il ricercatore indipendente.

Cosa monitorare in incidenti simili

In questo tipo di eventi conviene tenere d'occhio tre cose: il post-mortem ufficiale di MetaMask (cosa esattamente è andato storto), la lunghezza della coda di uscita dei validatori su Ethereum (quanto l'exit di massa rallenterà i prelievi per tutti) e se i numeri riportati dal ricercatore indipendente verranno confermati o corretti. charliedesk monitorerà questi dati e li confronterà con quanto alla fine MetaMask annuncerà ufficialmente.