Metamask выводит валидаторов Ethereum после инцидента с безопасностью, в результате которого, по-видимому, было перенаправлено менее $1 000 в виде чаевых за блоки, в то время как внешние исследователи оценивают, что примерно 17 000 валидаторов, содержащих около 523 000 ETH, были отправлены на выход. Metamask утверждает, что кошельки и средства клиентов не показывают признаков воздействия. Дорогостоящей частью может оказаться простои, пропущенные вознаграждения и процесс выхода и повторного возврата, который по оценке Lido может занять до 45 дней.
Metamask заявил, что средства клиентов не пострадали, хотя примерно 17 000 валидаторов направлены на выход. Исследователь безопасности Kaden оценивает, что злоумышленники перенаправили около 0,36 ETH из 18 вознаграждений валидаторов Metamask. Lido сообщил, что затронутые валидаторы Metamask могут возвращаться в работу до 45 дней.
Менее $1 000 пропало, полмиллиона ETH идет к выходу
По словам исследователя безопасности, кто-то, похоже, присвоил около 0,36 ETH в виде чаевых за блоки от валидаторов, управляемых Metamask — сумма менее $1 000 при примерно $2 700 за эфир. Ответная реакция оказалась значительно масштабнее. Metamask начал проактивно выводить затронутые валидаторы 30 сентября, пока расследователи пытались определить, насколько далеко зашел злоумышленник.
Исследователь Kaden оценивает, что примерно 17 000 валидаторов, совместно содержащих около 523 000 ETH, были направлены на выход. Metamask не подтверждала эти цифры, но Lido подтвердил, что валидаторы, управляемые Metamask Staking, выводятся из его протокола. Это любопытно: видимая кража — мелочь по меркам крипто-взломов, тогда как защитный манёвр затронул сотни тысяч эфира.
Похоже, вор нашел банку для чаевых
Metamask объявил об инциденте в 19:38 по восточному времени 30 сентября, заявив, что реагирует на компрометацию части своей инфраструктуры и не обнаружил «немедленной угрозы кошелькам Metamask». 1 октября компания сообщила, что по-прежнему «нет признаков того, что кошельки Metamask или средства клиентов были затронуты». Архитектура стейкинга помогает объяснить это.
Валидаторы Ethereum обычно ставят 32 ETH, но Metamask утверждает, что его операция стейкинга некостодиальна и компания не контролирует ключи вывода клиентов. Эти ключи позволяют фактически вывести поставленные средства. Следовательно, злоумышленник, способный менять настройки валидатора, не получит автоматически ключи к хранилищу. Реконструкция Kaden в ончейне указывает вместо этого на «банку для чаевых».
Он сообщает, что 19 валидаторов Metamask получили вознаграждения за блоки и платежи, но 18 из них ушли на неверный адрес получателя комиссий. Этот адрес был профинансирован через миксер эфира Tornado Cash, и перенаправленные платежи в сумме составили около 0,36 ETH. Другая реконструкция отследила активность примерно к четырем с половиной часам 30 сентября. Это крошечная кража, за которой последовал очень громкий сигнал тревоги.
Почему Metamask радикально вывел валидаторов
Изменение адреса получателя комиссий может перенаправить чаевые за блоки валидатора, не трогая его ставку в 32 ETH. Проблемы начинаются, если злоумышленник получает нечто более мощное, например ключи подписи валидатора.
Эти ключи не позволяют просто вывести ставку, но они могут заставить валидаторов доказательства доли (PoS) совершать нарушения, наказуемые системой слэшинга Ethereum. Слэшинг уничтожает часть ставки валидатора и выводит его из сервиса. Kaden сообщил, что три эксплуатированных валидатора еще не вышли, когда он публиковал свой анализ, и оценил, что около 821 потенциально затронутого валидатора оставались активными.
В другом анализе инфраструктурная фирма для данных блокчейна Bitquery отдельно посчитала 16 965 валидаторов, содержащих 565 056 ETH, которые вышли или вошли в очередь по состоянию на 1 октября. Их числа несколько отличаются от оценок Kaden, потому что исследователи измеряли разные наборы в разное время. Ни одна из цифр не была публично подтверждена Metamask.
Bitquery также оценил, что гипотетический одновременный слэшинг примерно 17 000 валидаторов мог бы сжечь около 22 000 ETH. В их реконструкции ни один валидатор не был слэшнут. Эта возможность объясняет, почему платформа криптокошелька Metamask провела гораздо более масштабную оборонительную операцию, чем сама по себе казалась бы оправданной исходя из размера кражи.
Неделя на выход может превратиться в 45 дней ожидания
Провайдер инфраструктуры ликвидного стейкинга Lido ожидает, что затронутые валидаторы, которые он использует, завершат выход к 7 октября. Но вернуть этот эфир к заработку — другое дело. Валидаторы должны пройти процесс выхода из Ethereum, вывести средства и в конечном счете снова войти через очередь входа. Lido оценивает, что полный цикл может занять до примерно 45 дней. В течение этого периода вышедшая ставка не получает вознаграждений валидатора.
Очередь и так была загружена. Данные очереди валидаторов через beaconcha.in показывают около 393 795 ETH, ожидающих выхода из набора валидаторов Ethereum, с оценочным временем около четырех дней и шести часов, необходимых для очистки очереди на выход перед новой задержкой выводов. Lido говорит, что держателям stETH не нужно предпринимать никаких действий, Metamask советует пользователям кошельков то же самое и предупреждает не передавать фразы восстановления кому-либо, кто утверждает, что может предложить защиту.
Пока что бухгалтерия выглядит странно: примерно 0,36 ETH якобы украдено, сотни тысяч ETH направлены на выход и, возможно, недели утерянного дохода. Вор, возможно, добрался до банки для чаевых, но Metamask до сих пор не сообщил точно, насколько близко злоумышленник подошел к «сейфу».