MetaMask a commencé à sortir les validateurs Ethereum affectés après avoir divulgué un incident de sécurité d'infrastructure survenu le 30 septembre, Lido s'attendant à ce que les derniers validateurs impactés sortent d'ici le 7 octobre.
Résumé
- MetaMask sort les validateurs Ethereum affectés après avoir identifié un incident de sécurité au sein de ses systèmes d'infrastructure.
- Lido s'attend à ce que les derniers validateurs MetaMask affectés sortent d'ici le 7 octobre, sous réserve des conditions du réseau.
- MetaMask affirme que son service de staking reste non-custodial et ne contrôle pas directement les clés de retrait des clients.
- Lido indique que les détenteurs de stETH n'ont aucune action à effectuer tandis que l'ETH sorti revient progressivement via les processus du protocole.
- Le fondateur d'Aave, Stani Kulechov, déclare que ses marchés restent non affectés tandis que les équipes surveillent l'évolution de la situation avec Lido.
MetaMask a déclaré qu'il répondait à un incident en cours affectant une partie de son infrastructure et qu'il travaillait avec des partenaires externes et des conseillers en sécurité sur la remédiation. L'entreprise a déclaré n'avoir identifié « aucune menace immédiate pour les portefeuilles MetaMask », sans donner de détails techniques sur les systèmes concernés.
Par précaution, l'entreprise a commencé à sortir les validateurs affectés de ses opérations de staking non-custodial. MetaMask a déclaré ne pas détenir les clés de retrait pour le stake des clients, ce qui signifie que l'opérateur de validateur ne contrôle pas les clés utilisées pour retirer les fonds sous-jacents.
Les divulgations publiques disponibles au 1er octobre n'identifient pas la méthode d'attaque, le nombre de validateurs affectés, le montant d'ETH impliqué ni si des données ont été consultées. MetaMask a déclaré qu'il continuerait à surveiller l'incident et fournirait plus d'informations au fur et à mesure de l'avancement de son enquête.
MetaMask affirme que les portefeuilles ne font face à aucune menace immédiate
La déclaration de MetaMask sépare l'infrastructure affectée de son produit de portefeuille. Bien que l'entreprise ait confirmé un incident de sécurité, elle n'a pas signalé de compromission des portefeuilles MetaMask ni divulgué de pertes impliquant des utilisateurs de portefeuilles. Sa formulation s'est limitée à dire qu'aucune menace immédiate pour les portefeuilles n'avait été identifiée au moment de la mise à jour.
Les opérations affectées concernent MetaMask Staking, anciennement connu sous le nom de Consensys Staking. Plus tôt en septembre, Consensys Software Inc. a annoncé son intention d'opérer sous le nom MetaMask tout en séparant ses activités de protocoles et d'infrastructure institutionnelle dans une nouvelle société Consensys. L'achèvement de cette séparation d'entreprise est prévu d'ici la fin de 2026.
Le service de staking de validateurs de MetaMask est construit autour d'un modèle non-custodial. Sa documentation d'assistance indique que les utilisateurs conservent le contrôle de leur stake et de leurs récompenses tandis que l'infrastructure de staking exploite le validateur. Pour le staking direct de validateurs, l'ETH reste lié au système de staking d'Ethereum jusqu'à ce que l'utilisateur initie une sortie et un retrait.
Comme crypto.news l'a précédemment rapporté sur le service de staking de validateurs de MetaMask, le produit a été lancé en utilisant l'infrastructure de validateurs exploitée par Consensys. L'avis d'incident actuel de MetaMask ne précise pas si chaque partie de son activité de staking est affectée ni n'identifie le composant d'infrastructure impliqué.
Lido s'attend à ce que les sorties de validateurs se poursuivent jusqu'au 7 octobre
Lido a fourni une mise à jour opérationnelle plus détaillée après que MetaMask a divulgué l'incident. Dans une divulgation de sécurité du 30 septembre sur son forum de gouvernance, un représentant de Lido a déclaré que MetaMask Staking avait pris des mesures préventives à la suite d'une « compromission d'infrastructure ».
Les validateurs opérés par MetaMask Staking au sein du protocole Lido ont commencé à sortir. Lido s'attend à ce que les derniers validateurs concernés achèvent la phase de sortie d'ici la fin du 7 octobre, bien qu'ils ne soient pas nécessairement entièrement retirés à ce moment-là.
Les retraits de validateurs Ethereum impliquent plusieurs étapes. Lido a déclaré que l'ETH quittant les validateurs opérés par MetaMask retournerait progressivement au protocole à mesure que chaque validateur passe par la sortie, le retrait et éventuellement la réentrée. L'ensemble du processus pourrait prendre jusqu'à environ 45 jours en raison de la longue file d'attente d'entrée des validateurs d'Ethereum.
Lido a informé les utilisateurs de stETH qu'« aucune action n'est requise de la part des détenteurs de stETH ». Le protocole a déclaré que le processus de sortie de MetaMask pourrait entraîner des récompenses de staking perdues et d'éventuelles pénalités d'indisponibilité si les validateurs concernés sont mis hors ligne avant la fin de leurs sorties.
Mettre les validateurs hors ligne avant la fin du processus de sortie formel peut réduire l'exposition à certains risques liés aux validateurs, mais les validateurs inactifs peuvent encourir des pénalités Ethereum. Lido a attribué l'éventuelle étape d'indisponibilité aux efforts visant à réduire les risques liés à d'éventuelles pénalités de réseau et n'a pas déclaré que les validateurs avaient été slashed.
Lido a mis en avant sa structure d'opérateurs de nœuds distribués et un fonds de réserve ad hoc détenant plus de 6 750 stETH comme des systèmes destinés à absorber les perturbations opérationnelles. Le protocole rapporte actuellement plus de 600 opérateurs répartis dans ses modules de staking.
La refonte de l'infrastructure de validateurs de Lido, le protocole a introduit le Curated Module v2 en juillet, ajoutant la prise en charge de soldes de validateurs effectifs plus élevés et de nouveaux mécanismes couvrant la responsabilité des opérateurs et les pénalités.
Le staking non-custodial garde les clés de retrait chez les clients
MetaMask a souligné la distinction entre l'exploitation d'un validateur et le contrôle des actifs qui y sont liés. Son opération de staking signe les tâches des validateurs et maintient l'infrastructure des validateurs, tandis que l'entreprise déclare ne pas gérer les clés de retrait des clients.
La documentation de MetaMask décrit le staking de validateurs comme auto-custodial. Les utilisateurs déposent de l'ETH dans le contrat de dépôt beacon d'Ethereum et conservent le contrôle du processus de retrait, tandis que l'infrastructure de staking de MetaMask gère l'exploitation des nœuds.
Lido utilise une séparation des tâches similaire pour les opérateurs de nœuds. Sa documentation technique indique que les identifiants de retrait sont définis par le protocole, tandis que les opérateurs génèrent les clés de signature des validateurs utilisées pour effectuer les tâches des validateurs. Les identifiants de retrait déterminent où l'ETH retiré peut être déplacé.
MetaMask n'a pas précisé si les clés de signature des validateurs ont été consultées lors de l'incident. Il n'a pas non plus divulgué de preuves de slashing, de stake client volé ou de retraits non autorisés. Le post de forum de Lido fait référence à d'éventuelles pénalités d'indisponibilité et à d'éventuelles pénalités de réseau comme des risques liés à la réponse préventive, et non comme des pertes confirmées.
Les informations actuelles restent donc limitées à l'incident d'infrastructure, au processus de sortie des validateurs et aux garanties déclarées par les entreprises. MetaMask a déclaré que la remédiation était en cours avec des conseillers en sécurité externes, tandis que Lido a déclaré qu'« une enquête complète est en cours » et que d'autres mises à jour suivraient.
Aave déclare que ses marchés restent opérationnels pendant l'enquête
Le fondateur d'Aave, Stani Kulechov, a déclaré qu'il surveillait l'incident de MetaMask Staking et les développements impliquant Lido après que les sorties de validateurs ont été rendues publiques.
Kulechov a déclaré que les marchés d'Aave n'avaient pas été affectés et que les fonctions du protocole fonctionnaient normalement, selon sa mise à jour du 1er octobre. Aucune perturbation vérifiée des marchés d'Aave liée à l'incident de MetaMask n'avait été signalée au moment de la déclaration.
Le commentaire est pertinent car le stETH et d'autres actifs de staking Ethereum sont largement utilisés dans la finance décentralisée, y compris les marchés de prêt. La divulgation de sécurité de Lido n'a pas demandé aux détenteurs de stETH de retirer, échanger ou déplacer leurs jetons pendant le processus de sortie des validateurs de MetaMask.
Aucune mise à jour publique de MetaMask examinée le 1er octobre n'a donné de date limite pour l'achèvement de l'enquête de sécurité. Le jalon opérationnel daté provient de Lido, qui s'attend à ce que les derniers validateurs concernés opérés par MetaMask entrent en état de sortie d'ici la fin du 7 octobre avant que les retraits et la réentrée ne se poursuivent tout au long du cycle estimé à 45 jours.
