Co się stało?
MetaMask, jeden z najpopularniejszych portfeli Ethereum, ogłosił incydent bezpieczeństwa, który dotknął część jego infrastruktury. Jako środek zapobiegawczy usługa MetaMask Staking zaczęła wycofywać (exitować) walidatory Ethereum powiązane z protokołem Lido. Według źródeł to wypchnęło liczbę wypłat walidatorów w sieci na najwyższy poziom od dziewięciu miesięcy.
Walidator to uczestnik sieci Ethereum, który za wpłacone 32 ETH weryfikuje transakcje i proponuje bloki, za co otrzymuje nagrody. Lido to największy protokół płynnego stakingu na Ethereum, przez który można stakować ETH bez prowadzenia własnego węzła. Wycofanie większej liczby walidatorów jednocześnie trafia do tak zwanej kolejki na wyjście (exit queue), która ogranicza, ilu walidatorów może opuścić sieć w danym czasie.
Jak doszło do incydentu?
Według serwisu BitHub.pl zespół MetaMaska podczas kontroli działania swoich systemów zauważył nieprawidłowości w przepływie opłat transakcyjnych generowanych przez walidatory.
Badacz bezpieczeństwa on-chain występujący jako Kaden, według CryptoSlate, podał, że analiza wykazała przekierowanie nagród z opłat transakcyjnych. Spośród 19 walidatorów, które zaproponowały blok, w 18 przypadkach nagrody miały zostać przekierowane na adres finansowany przez Tornado Cash. Tornado Cash to protokół zapewniający prywatność na Ethereum, który miksuje i anonimizuje transakcje.
Ważny szczegół: według tego samego źródła atakujący faktycznie przechwycił tylko bardzo niewielką część środków (rzędu ułamka ETH). Zakres rzeczywistej szkody wygląda więc na nieproporcjonalnie mniejszy niż wolumen ETH, który MetaMask prewencyjnie wycofuje.
Ile ETH jest przenoszone?
| Dane | Wartość | Źródło |
|---|---|---|
| Prewencyjnie exitowane walidatory | ok. 17 000 | Kaden (via CryptoSlate) |
| Wolumen ETH | ok. 523 000 ETH | Kaden (via CryptoSlate) |
| Walidatory proponujące blok z przekierowanymi opłatami | 18 z 19 | Kaden (via CryptoSlate) |
| Czas wyjścia, wypłaty i ponownego wejścia | do 45 dni | MetaMask (via Decrypt, Incrypted) |
Liczby dotyczące liczby walidatorów i wolumenu ETH pochodzą z analizy niezależnego badacza, a nie bezpośrednio z oficjalnego oświadczenia MetaMaska. Traktuj je zatem jako prawdopodobne, a nie potwierdzone przez firmę.
Czy portfele użytkowników są zagrożone?
MetaMask według serwisów Decrypt i Incrypted podał, że nie wykrył bezpośredniego zagrożenia dla portfeli użytkowników. Firma jednocześnie poinformowała, że rozwiązuje problem we współpracy z zewnętrznymi partnerami i ekspertami od cyberbezpieczeństwa.
Główny praktyczny skutek dla stakerów jest więc czasowy, niekoniecznie stratny: ETH wycofane z Lido według MetaMaska może wracać nawet 45 dni, ponieważ cały cykl obejmuje wyjście walidatora, wypłatę i ewentualne ponowne wejście. Masowe wypłaty dodatkowo wydłużają kolejkę na wyjście dla wszystkich pozostałych stakerów w sieci, a nie tylko dla klientów MetaMaska.
Co na razie nie jest jasne?
Publicznie dostępne informacje nie dają odpowiedzi na kilka kluczowych pytań. Nie jest potwierdzone, jak dokładnie atakujący przedostał się do infrastruktury, czy chodziło o kompromitację kluczy, oprogramowania czy zewnętrznej usługi. Nie jest też oficjalnie potwierdzona dokładna wysokość skradzionych środków, poza tym, że wydaje się niska. A MetaMask na razie publicznie nie potwierdził dokładnej liczby wycofanych walidatorów, którą podaje niezależny badacz.
Na co zwracać uwagę przy podobnych incydentach
Przy tego typu zdarzeniach warto śledzić trzy rzeczy: oficjalny post-mortem od MetaMaska (co dokładnie zawiodło), długość kolejki na wyjście walidatorów na Ethereum (jak bardzo masowy exit spowolni wypłaty dla wszystkich) oraz to, czy liczby podawane przez niezależnego badacza zostaną potwierdzone lub skorygowane. charliedesk będzie śledzić te dane i porówna je z tym, co ostatecznie oficjalnie ogłosi MetaMask.