A MetaMask começou a sair dos validadores Ethereum afetados após divulgar um incidente de segurança de infraestrutura em 30 de setembro, com a Lido esperando que os validadores afetados finais saiam até 7 de outubro.
Resumo
- A MetaMask está saindo dos validadores Ethereum afetados após identificar um incidente de segurança dentro de seus sistemas de infraestrutura.
- A Lido espera que os validadores MetaMask afetados finais saiam até 7 de outubro, dependendo das condições da rede.
- A MetaMask afirma que seu serviço de staking permanece não custodial e não controla diretamente as chaves de saque dos clientes.
- A Lido afirma que os detentores de stETH não precisam tomar nenhuma ação enquanto o ETH sacado retorna gradualmente por meio dos processos do protocolo.
- O fundador da Aave, Stani Kulechov, afirma que seus mercados permanecem não afetados enquanto as equipes monitoram os desdobramentos com a Lido.
A MetaMask disse que estava respondendo a um incidente em andamento que afeta parte de sua infraestrutura e estava trabalhando com parceiros externos e consultores de segurança na remediação. A empresa disse que identificou "nenhuma ameaça imediata às carteiras MetaMask", embora não tenha fornecido detalhes técnicos sobre os sistemas envolvidos.
Como precaução, a empresa começou a sair dos validadores afetados de suas operações de staking não custodial. A MetaMask disse que não detém as chaves de saque para o stake do cliente, o que significa que o operador do validador não controla as chaves usadas para sacar os fundos subjacentes.
As divulgações públicas disponíveis em 1º de outubro não identificam o método do ataque, o número de validadores afetados, a quantidade de ETH envolvida ou se algum dado foi acessado. A MetaMask disse que continuaria monitorando o incidente e forneceria mais informações conforme sua investigação avançasse.
A MetaMask afirma que as carteiras não enfrentam ameaça imediata
A declaração da MetaMask separa a infraestrutura afetada de seu produto de carteira. Embora a empresa tenha confirmado um incidente de segurança, ela não relatou um comprometimento das carteiras MetaMask nem divulgou perdas envolvendo usuários de carteiras. Sua redação limitou-se a dizer que nenhuma ameaça imediata às carteiras havia sido identificada no momento da atualização.
As operações afetadas envolvem o MetaMask Staking, anteriormente conhecido como Consensys Staking. No início de setembro, a Consensys Software Inc. anunciou planos de operar sob o nome MetaMask enquanto separava seus negócios de protocolos e infraestrutura institucional em uma empresa Consensys recém-formada. A conclusão dessa separação corporativa é esperada até o final de 2026.
O serviço de staking de validadores da MetaMask é construído em torno de um modelo não custodial. Sua documentação de suporte afirma que os usuários mantêm o controle sobre seu stake e recompensas enquanto a infraestrutura de staking opera o validador. Para staking direto de validadores, o ETH permanece vinculado ao sistema de staking do Ethereum até que o usuário inicie uma saída e retirada.
Como o crypto.news relatou anteriormente sobre o serviço de staking de validadores da MetaMask, o produto foi lançado usando infraestrutura de validadores operada pela Consensys. O aviso de incidente atual da MetaMask não diz se todas as partes de seu negócio de staking foram afetadas ou identifica o componente de infraestrutura envolvido.
A Lido espera que as saídas de validadores ocorram até 7 de outubro
A Lido forneceu uma atualização operacional mais detalhada depois que a MetaMask divulgou o incidente. Em uma divulgação de segurança de 30 de setembro em seu fórum de governança, um representante da Lido disse que a MetaMask Staking havia tomado medidas de precaução após um "comprometimento de infraestrutura".
Os validadores operados pela MetaMask Staking dentro do protocolo Lido começaram a sair. A Lido espera que os últimos validadores afetados concluam a fase de saída até o final de 7 de outubro, embora não necessariamente estejam totalmente retirados até então.
As retiradas de validadores do Ethereum envolvem várias etapas. A Lido disse que o ETH deixando os validadores operados pela MetaMask retornaria gradualmente ao protocolo à medida que cada validador passa por saída, retirada e eventual reentrada. Todo o processo pode levar até aproximadamente 45 dias por causa da longa fila de entrada de validadores do Ethereum.
A Lido disse aos usuários de stETH que “Nenhuma ação é necessária por parte dos detentores de stETH.” O protocolo disse que o processo de saída da MetaMask pode levar a recompensas de staking perdidas e possíveis penalidades por inatividade se os validadores afetados forem desligados antes que suas saídas terminem.
Desligar validadores antes que o processo formal de saída termine pode reduzir a exposição a alguns riscos de validadores, mas validadores inativos podem incorrer em penalidades do Ethereum. A Lido atribuiu a possível etapa de inatividade aos esforços para reduzir riscos relacionados a potenciais penalidades de rede e não disse que os validadores haviam sido penalizados.
A Lido apontou para sua estrutura distribuída de operadores de nós e um fundo de reserva ad hoc contendo mais de 6.750 stETH como sistemas destinados a absorver interrupções operacionais. O protocolo atualmente relata mais de 600 operadores em seus módulos de staking.
A reformulação da infraestrutura de validadores da Lido, o protocolo introduziu o Curated Module v2 em julho, adicionando suporte para saldos efetivos de validadores mais altos e novos mecanismos cobrindo responsabilidade e penalidades dos operadores.
Staking não custodial mantém as chaves de retirada com os clientes
A MetaMask enfatizou a distinção entre operar um validador e controlar os ativos vinculados a ele. Sua operação de staking assina deveres de validador e mantém a infraestrutura de validadores, enquanto a empresa diz que não gerencia as chaves de retirada dos clientes.
A própria documentação da MetaMask descreve o staking de validadores como autocustodial. Os usuários depositam ETH no contrato de depósito beacon do Ethereum e mantêm o controle sobre o processo de retirada, enquanto a infraestrutura de staking da MetaMask lida com a operação do nó.
A Lido usa uma separação relacionada de deveres para operadores de nós. Sua documentação técnica afirma que as credenciais de retirada são definidas pelo protocolo, enquanto os operadores geram chaves de assinatura de validadores usadas para executar deveres de validador. As credenciais de retirada determinam para onde o ETH retirado pode se mover.
A MetaMask não disse se as chaves de assinatura de validadores foram acessadas durante o incidente. Da mesma forma, não divulgou evidências de penalização, stake de cliente roubado ou retiradas não autorizadas. A postagem no fórum da Lido refere-se a potenciais penalidades por inatividade e possíveis penalidades de rede como riscos conectados à resposta preventiva, não como perdas confirmadas.
As informações atuais, portanto, permanecem limitadas ao incidente de infraestrutura, ao processo de saída de validadores e às salvaguardas declaradas pelas empresas. A MetaMask disse que a remediação estava em andamento com consultores de segurança externos, enquanto a Lido disse que uma “investigação completa está em andamento” e mais atualizações seguiriam.
Aave diz que seus mercados permanecem operacionais durante a investigação
O fundador da Aave, Stani Kulechov, disse que estava monitorando o incidente da MetaMask Staking e os desenvolvimentos envolvendo a Lido depois que as saídas de validadores se tornaram públicas.
Kulechov disse que os mercados da Aave não foram afetados e que as funções do protocolo estavam operando normalmente, de acordo com sua atualização de 1º de outubro. Nenhuma interrupção verificada nos mercados da Aave ligada ao incidente da MetaMask havia sido relatada no momento da declaração.
O comentário é relevante porque stETH e outros ativos de staking do Ethereum são amplamente usados em finanças descentralizadas, incluindo mercados de empréstimos. A divulgação de segurança da Lido não instruiu os detentores de stETH a retirar, trocar ou mover seus tokens durante o processo de saída de validadores da MetaMask.
Nenhuma atualização pública da MetaMask revisada em 1º de outubro deu um prazo para a conclusão da investigação de segurança. O marco operacional datado vem da Lido, que espera que os últimos validadores afetados operados pela MetaMask entrem no estado de saída até o final de 7 de outubro antes que as retiradas e a reentrada continuem através do ciclo estimado de 45 dias.
