Kaj se je zgodilo?
MetaMask, ena najbolj razširjenih Ethereum denarnic, je napovedal varnostni incident, ki je prizadel del njegove infrastrukture. Kot preventivni ukrep je storitev MetaMask Staking začela umikati (izstopati, exit) Ethereum validatorje, povezane s protokolom Lido. To je po virih potisnilo število izstopov validatorjev na omrežju na najvišjo raven v devetih mesecih.
Validator je udeleženec Ethereum omrežja, ki za vložena 32 ETH preverja transakcije in predlaga bloke, za kar prejema nagrade. Lido je največji likvidnostni staking protokol na Ethereu, prek katerega je mogoče stakati ETH brez upravljanja lastnega vozlišča. Izstop večje količine validatorjev naenkrat se uvršča v tako imenovano čakalno vrsto za izstop (exit queue), ki omejuje, koliko validatorjev lahko zapusti omrežje v določenem času.
Kako je prišlo do incidenta?
Po navedbah strežnika BitHub.pl je ekipa MetaMaska ob preverjanju delovanja svojih sistemov opazila neskladja v toku transakcijskih provizij, ki jih generirajo validatorji.
On-chain varnostni raziskovalec, ki nastopa kot Kaden, je po navedbah CryptoSlate povedal, da je analiza pokazala preusmeritev nagrad iz transakcijskih provizij. Od 19 validatorjev, ki so predlagali blok, naj bi bile pri 18 nagrade preusmerjene na naslov, financiran prek Tornado Cash. Tornado Cash je protokol za zagotavljanje zasebnosti na Ethereu, ki meša in anonimizira transakcije.
Pomembna podrobnost: po istem viru je napadalec dejansko prestregel le zelo majhen del sredstev (v velikostnem redu drobca ETH). Obseg dejanske škode torej izgleda nesorazmerno manjši od količine ETH, ki ga MetaMask preventivno umika.
Koliko ETH se premika?
| Podatek | Vrednost | Vir |
|---|---|---|
| Preventivno izstopljeni validatorji | pribl. 17.000 | Kaden (via CryptoSlate) |
| Količina ETH | pribl. 523.000 ETH | Kaden (via CryptoSlate) |
| Validatorji, ki so predlagali blok s preusmerjenimi provizijami | 18 od 19 | Kaden (via CryptoSlate) |
| Čas izstopa, izplačila in ponovnega vstopa | do 45 dni | MetaMask (via Decrypt, Incrypted) |
Številke o številu validatorjev in količini ETH izhajajo iz analize neodvisnega raziskovalca, ne neposredno iz uradne izjave MetaMaska. Zato jih jemljite kot verjetne, ne pa kot potrjene s strani podjetja.
Ali so denarnice uporabnikov ogrožene?
MetaMask je po navedbah strežnikov Decrypt in Incrypted sporočil, da ni zaznal neposredne grožnje za denarnice uporabnikov. Podjetje je hkrati sporočilo, da težavo rešuje v sodelovanju z zunanjimi partnerji in strokovnjaki za kibernetsko varnost.
Glavni praktični učinek za stakerje je torej časovni, ne nujno izgube: ETH, umaknjen z Lida, se lahko po navedbah MetaMaska vrača do 45 dni, saj celoten cikel vključuje izstop validatorja, izplačilo in morebitni ponovni vstop. Množični izstopi poleg tega podaljšujejo čakalno vrsto za izstop za vse ostale stakerje na omrežju, ne le za stranke MetaMaska.
Kaj za zdaj ni jasno?
Javno dostopne informacije ne dajejo odgovora na nekaj ključnih vprašanj. Ni potrjeno, kako natančno je napadalec vdrl v infrastrukturo, ali je šlo za kompromitacijo ključev, programske opreme ali zunanje storitve. Prav tako ni uradno potrjena natančna višina ukradenih sredstev, razen tega, da se zdi nizka. In MetaMask za zdaj javno ni dokazal natančne številke umaknjenih validatorjev, ki jo navaja neodvisni raziskovalec.
Na kaj paziti pri podobnih incidentih
Pri tovrstnih dogodkih se splača spremljati tri stvari: uradni post-mortem s strani MetaMaska (kaj točno je odpovedalo), dolžino čakalne vrste za izstop validatorjev na Ethereu (kako zelo bo množični izstop upočasnil izstope za vse) in to, ali se bodo potrdile ali popravile številke, ki jih navaja neodvisni raziskovalec. charliedesk bo te podatke spremljal in jih primerjal s tem, kar bo na koncu MetaMask uradno napovedal.