MetaMask: wiadomość on‑chain nie pochodziła od nas

MetaMask zaprzeczył, że w jego imieniu wysłano on‑chain wiadomość szydzącą z Jaredfromsubway. W oświadczeniu opublikowanym na platformie X firma wskazała, że komunikat nie pochodził z żadnej oficjalnej domeny ani adresu MetaMask.

Wydarzenia związane są z głośnym atakiem typu honeypot na bota MEV prowadzonego przez użytkownika znanego jako Jaredfromsubway. W wyniku ataku operator stracił środki szacowane w okolicach 15 mln USD. Dane on‑chain wskazują jednocześnie, że z przejętych funduszy 2 000 ETH zostało wysłanych do Tornado Cash w 20 transakcjach po 100 ETH (około 5,1 mln USD), a kolejne 1 422 ETH zamieniono na około 2,44 mln USD w DAI, co daje łącznie około 7,5 mln USD wykazanych transferów.

MetaMask wyjaśnił, że komunikat pochodził z adresu przypisanego do nazwy ENS zapisywanej z wielką literą („MetaMask.eth”). Na większości portfeli i przeglądarek nazwy ENS są wyświetlane małymi literami, więc „MetaMask.eth” i „metamask.eth” wyglądają identycznie dla użytkownika, mimo że mogą kierować do różnych adresów on‑chain. W oświadczeniu podkreślono: „Żadne oficjalne domeny ani adresy MetaMask nie były źródłem tej publikacji.”

Osoba lub podmiot używający nazwy różniącej się tylko wielkością liter nie odpowiedział na groźby prawne ani propozycję ugody. Operator bota zaoferował 50-proc. „white hat deal” z 48‑godzinnym terminem zwrotu i zapowiedział kroki prawne, jeśli środki nie zostaną zwrócone; oferta nie została przyjęta.

Eksperci śledzący aktywność on‑chain zauważyli, że rejestracja wariantów nazw ENS z różną wielkością liter jest wykorzystywana przez oszustów. Takie nazwy są rejestrowane przed głośnymi wydarzeniami i używane do podszywania się, ponieważ wyglądają identycznie w interfejsach wyświetlających nazwy małymi literami.

Incydent łączy dwa oddzielne problemy: mechanikę ataku typu honeypot, która doprowadziła do utraty środków przez operatora MEV, oraz ryzyko podszywania się na poziomie wyświetlania nazw ENS. Sprawa dotyczy działania systemu nazewnictwa ENS i sposobu prezentacji nazw przez portfele oraz usługi, które muszą zdecydować, jak równoważyć zasady rejestracji i czytelność wyświetlanych nazw.

Działania napastnika i przepływy środków pozostają widoczne w rejestrze blockchain. Analizy on‑chain oraz oświadczenia stron nadal obrazują, które adresy i transakcje były zaangażowane w przelewy powiązane z atakiem.