Čo sa stalo?
MetaMask, jedna z najrozšírenejších Ethereum peňaženiek, oznámil bezpečnostný incident, ktorý zasiahol časť jeho infraštruktúry. Ako preventívne opatrenie začala služba MetaMask Staking sťahovať (exitovať) Ethereum validátorov spojených s protokolom Lido. To podľa zdrojov vyhnalo počet výberov validátorov na sieti na najvyššiu úroveň za deväť mesiacov.
Validátor je účastník Ethereum siete, ktorý za vložených 32 ETH overuje transakcie a navrhuje bloky, za čo dostáva odmeny. Lido je najväčší likviditný staking protokol na Ethereu, cez ktorý možno stakovať ETH bez prevádzkovania vlastného uzla. Výber väčšieho množstva validátorov naraz sa radí do takzvanej fronty na výstup (exit queue), ktorá obmedzuje, koľko validátorov môže sieť opustiť za daný čas.
Ako k incidentu došlo?
Podľa servera BitHub.pl si tím MetaMasku pri kontrole fungovania svojich systémov všimol nezrovnalosti v toku transakčných poplatkov generovaných validátormi.
On-chain bezpečnostný výskumník vystupujúci ako Kaden podľa CryptoSlate uviedol, že analýza ukázala presmerovanie odmien z transakčných poplatkov. Z 19 validátorov, ktoré navrhli blok, malo byť u 18 odmeny odklonené na adresu financovanú cez Tornado Cash. Tornado Cash je protokol na zabezpečenie súkromia na Ethereu, ktorý mixuje a anonymizuje transakcie.
Dôležitý detail: podľa toho istého zdroja útočník reálne zachytil len veľmi malú časť prostriedkov (rádovo zlomok ETH). Rozsah skutočnej škody teda vyzerá neúmerne menší než objem ETH, ktorý MetaMask preventívne sťahuje.
Koľko ETH sa presúva?
| Údaj | Hodnota | Zdroj |
|---|---|---|
| Preventívne exitované validátory | cca 17 000 | Kaden (via CryptoSlate) |
| Objem ETH | cca 523 000 ETH | Kaden (via CryptoSlate) |
| Validátory navrhujúce blok s odklonenými poplatkami | 18 z 19 | Kaden (via CryptoSlate) |
| Doba výstupu, výplaty a opätovného vstupu | až 45 dní | MetaMask (via Decrypt, Incrypted) |
Čísla o počte validátorov a objeme ETH pochádzajú z analýzy nezávislého výskumníka, nie priamo z oficiálneho vyjadrenia MetaMasku. Berte ich preto ako pravdepodobné, nie potvrdené firmou.
Sú ohrozené peňaženky používateľov?
MetaMask podľa serverov Decrypt a Incrypted uviedol, že nezistil priamu hrozbu pre peňaženky používateľov. Firma zároveň oznámila, že problém rieši v spolupráci s externými partnermi a odborníkmi na kybernetickú bezpečnosť.
Hlavný praktický dopad pre stakerov je teda časový, nie nutne stratový: ETH stiahnuté z Lido sa podľa MetaMasku môže vracať až 45 dní, pretože celý cyklus zahŕňa výstup validátora, výplatu a prípadný opätovný vstup. Hromadné výbery navyše predlžujú frontu na výstup pre všetkých ostatných stakerov na sieti, nie len pre klientov MetaMasku.
Čo zatiaľ nie je jasné?
Verejne dostupné informácie nedávajú odpoveď na niekoľko kľúčových otázok. Nie je potvrdené, ako presne útočník do infraštruktúry prenikol, či išlo o kompromitáciu kľúčov, softvéru alebo externej služby. Nie je oficiálne potvrdená ani presná výška odcudzených prostriedkov, okrem toho, že sa javí ako nízka. A MetaMask zatiaľ verejne nedoložil presné číslo stiahnutých validátorov, ktoré udáva nezávislý výskumník.
Na čo pri podobných incidentoch sledovať
Pri tomto type udalostí sa oplatí sledovať tri veci: oficiálny post-mortem od MetaMasku (čo presne zlyhalo), dĺžku fronty na výstup validátorov na Ethereu (ako veľmi hromadný exit spomalí výbery pre všetkých) a to, či sa potvrdia alebo upravia čísla uvádzané nezávislým výskumníkom. charliedesk bude tieto údaje sledovať a porovná ich s tým, čo nakoniec MetaMask oficiálne oznámi.