Команда Web3-кошелька MetaMask сообщила о проблеме в инфраструктуре своего стейкинг-сервиса. Разработчики начали отключать связанные с ней Ethereum-валидаторы, назвав это мерой предосторожности.
На момент публикации в MetaMask не раскрыли характер инцидента, возможный вектор атаки, число затронутых валидаторов и объем Ethereum. Расследование идет при участии внешних партнеров и консультантов по безопасности.
Рисков для пользователей нет из-за архитектурного ограничения, заявили представители проекта. Валидаторы работают с двумя типами учетных данных: ключ подписи отвечает за голосование за блоки и находится в инфраструктуре оператора, ключ вывода контролирует движение застейканного ETH и остается у клиента.
Даже если инфраструктура оператора пострадала, атакующий получил доступ только к первому. Вывести или переместить средства без ключа вывода невозможно.
Валидаторы выходят из Lido
В Lido подтвердили, что MetaMask Staking (ранее Consensys Staking) начал выводить обслуживаемые им Ethereum-валидаторы из протокола. Последние затронутые узлы завершат выход к концу 7 октября.
На время процесса они перестанут приносить часть стейкинговых наград. Если отдельные валидаторы прекратят выполнять обязанности до завершения выхода, возможны штрафы за простой. О потерях средств пользователей не сообщается.
После выхода ETH постепенно вернется в Lido. Полный цикл — вывод из протокола, получение средств и повторный вход в стейкинг — может занять до 45 дней из-за очереди на активацию в сети Ethereum. Владельцам stETH не нужно предпринимать никаких действий.
Сообщество обсуждает масштаб проблемы
Нехватка подробностей вызвала спекуляции среди пользователей. Трейдер под псевдонимом Andy указал на распространяющиеся по сети слухи о «серьезном масштабе проблемы».
По его словам, часть предложения Ethereum якобы могла оказаться «заложником» у одного провайдера ликвидного стейкинга. Подтверждений этой версии нет.
Участник криптосообщества Ник О’Нил предположил, что MetaMask могла раскрыть проблему превентивно из-за риска, что информацию опубликует кто-то еще. Каких-либо доказательств он также не привел.
С подобными трактовками не согласилась бывшая сотрудница MetaMask и специалист по безопасности Тейлор Монахан. Она отметила, что сообщение компании описывает стандартную последовательность действий: команда обнаружила подозрительную активность, устраняет потенциальную угрозу и из предосторожности выводит затронутые валидаторы.
По ее словам, значительно опаснее ситуации, когда проекты не замечают угрозу, не ведут необходимые журналы событий и не принимают мер после выявления проблемы.
Любин вывел 133 300 ETH
На фоне сообщения MetaMask ончейн-аналитики обратили внимание на крупный перевод ETH с адреса, который Lookonchain связывает с Джозефом Любином — сооснователем и CEO Consensys. Кошелек переместил 133 298 ETH стоимостью около $356,2 млн.
Транзакция произошла за несколько часов до раскрытия проблем, что дало криптосообществу еще один повод для обсуждения. При этом никаких подтверждений связи между переводом и происходящим в MetaMask нет.
Напомним, в сентябре разработчик кошелька — Consensys Software Inc — сообщил, что разделит потребительское и институциональное направления на две независимо управляемые компании.
