MetaMask: wycofano 17 tys. walidatorów Ethereum

Po wykryciu nieprawidłowości w systemach związanych z MetaMask wycofano około 17 000 walidatorów Ethereum. Ich łączne depozyty przekraczały 523 000 ETH. Przyczyną była konfiguracja kierująca opłaty za bloki na portfel niepowiązany z oficjalnymi strukturami operatora.

Problem zidentyfikował badacz bezpieczeństwa blockchain działający pod pseudonimem 0xKaden. Według jego ustaleń 18 z 19 aktywnych jednostek przekazywało nagrody transakcyjne na nieznany adres. Portfel został wcześniej zasilony środkami pochodzącymi z miksera Tornado Cash.

Bezpośrednio przekazana kwota wynosiła około 0,36 ETH. Operator wycofał walidatory zapobiegawczo, aby ograniczyć ryzyko dalszych strat i kar nakładanych przez sieć Ethereum za nieprawidłowe działanie węzłów.

Działania skoordynowano z zewnętrznymi doradcami i partnerami technologicznymi. Nie odnotowano dostępu do kluczy wypłat, dlatego główne depozyty walidatorów pozostały nienaruszone. Incydent ograniczył jednak bieżące przychody ze stakingu.

Wycofanie walidatorów wymaga czasu z powodu kolejki operacji w sieci Ethereum. Zakończenie procedury zaplanowano na początek października. Ponowne uruchomienie środków w stakingu może potrwać do 45 dni.

Lido poinformowało o stopniowym wygaszaniu węzłów zarządzanych przez opisywanego dostawcę usługi. Część podmiotów czasowo wycofała środki z platform pożyczkowych, a następnie ponownie je zdeponowała po uzyskaniu informacji o bezpieczeństwie.

Użytkownicy usług stakingowych nie musieli podejmować bezpośrednich działań. Zastosowanie rozproszonych kluczy uniemożliwiało kradzież środków ze stakowanych pul bez dostępu do kluczy wypłat. Śledztwo ma ustalić przyczynę błędnej konfiguracji mechanizmu przekazywania opłat transakcyjnych.