MetaMask почала виводити постраждалі валідатори Ethereum після розкриття інциденту безпеки інфраструктури 30 вересня, при цьому Lido очікує, що останні постраждалі валідатори вийдуть до 7 жовтня.
Резюме
- MetaMask виводить постраждалі валідатори Ethereum після виявлення інциденту безпеки в її інфраструктурних системах.
- Lido очікує, що останні постраждалі валідатори MetaMask вийдуть до 7 жовтня, залежно від стану мережі.
- MetaMask заявляє, що її стейкінговий сервіс залишається некастодіальним і не контролює ключі виведення клієнтів безпосередньо.
- Lido заявляє, що власникам stETH не потрібно вживати жодних дій, поки виведений ETH поступово повертається через протокольні процеси.
- Засновник Aave Стані Кулечов заявляє, що його ринки залишаються непостраждалими, поки команди відстежують події з Lido.
MetaMask заявила, що реагує на поточний інцидент, який впливає на частину її інфраструктури, і працює із зовнішніми партнерами та радниками з безпеки над виправленням. Компанія заявила, що не виявила «жодної негайної загрози для гаманців MetaMask», не надавши технічних деталей про задіяні системи.
Як запобіжний захід компанія почала виводити постраждалі валідатори зі своїх некастодіальних стейкінгових операцій. MetaMask заявила, що не зберігає ключі виведення для клієнтського стейку, що означає, що оператор валідатора не контролює ключі, які використовуються для виведення основних коштів.
Публічні розкриття, доступні станом на 1 жовтня, не визначають метод атаки, кількість постраждалих валідаторів, обсяг залучених ETH або чи було отримано доступ до будь-яких даних. MetaMask заявила, що продовжить відстежувати інцидент і надавати більше інформації в міру розвитку свого розслідування.
MetaMask заявляє, що гаманці не мають негайної загрози
Заява MetaMask відокремлює постраждалу інфраструктуру від її гаманцевого продукту. Хоча компанія підтвердила інцидент безпеки, вона не повідомила про компрометацію гаманців MetaMask або розкриття втрат, пов'язаних з користувачами гаманців. Її формулювання обмежувалося заявою, що на момент оновлення не було виявлено негайної загрози для гаманців.
Постраждалі операції стосуються MetaMask Staking, раніше відомої як Consensys Staking. Раніше у вересні Consensys Software Inc. оголосила про плани працювати під назвою MetaMask, відокремивши свої протокольні та інституційні інфраструктурні бізнеси в новостворену компанію Consensys. Завершення цього корпоративного розділення очікується до кінця 2026 року.
Сервіс стейкінгу валідаторів MetaMask побудований на некастодіальній моделі. Її документація підтримки зазначає, що користувачі зберігають контроль над своїм стейком і винагородами, поки стейкінгова інфраструктура керує валідатором. Для прямого стейкінгу валідаторів ETH залишається прив'язаним до системи стейкінгу Ethereum, поки користувач не ініціює вихід і виведення.
Як crypto.news раніше повідомляла про сервіс стейкінгу валідаторів MetaMask, продукт було запущено з використанням інфраструктури валідаторів, керованої Consensys. Поточне повідомлення про інцидент MetaMask не вказує, чи постраждала кожна частина її стейкінгового бізнесу, або який саме інфраструктурний компонент задіяний.
Lido очікує, що вихід валідаторів триватиме до 7 жовтня
Lido надала більш детальне операційне оновлення після того, як MetaMask розкрила інцидент. У розкритті безпеки від 30 вересня на своєму форумі управління представник Lido заявив, що MetaMask Staking вжила запобіжних заходів після «компрометації інфраструктури».
Валідатори, якими керує MetaMask Staking у межах протоколу Lido, почали виходити. Lido очікує, що останні постраждалі валідатори завершать етап виходу до кінця 7 жовтня, хоча вони не обов'язково будуть повністю виведені до того часу.
Виведення валідаторів Ethereum включає кілька етапів. Lido заявив, що ETH, які залишають валідатори, керовані MetaMask, поступово повернуться до протоколу, коли кожен валідатор пройде через вихід, виведення та зрештою повторний вхід. Весь процес може тривати до приблизно 45 днів через розширену чергу входу валідаторів Ethereum.
Lido повідомив користувачам stETH, що «від власників stETH не потрібно жодних дій». Протокол заявив, що процес виходу MetaMask може призвести до втрати винагород за стейкінг і можливих штрафів за простій, якщо постраждалі валідатори будуть відключені до завершення їхнього виходу.
Відключення валідаторів до завершення формального процесу виходу може зменшити вплив деяких ризиків валідаторів, але неактивні валідатори можуть зазнати штрафів Ethereum. Lido пояснив можливий крок із простоєм зусиллями щодо зменшення ризиків, пов'язаних із потенційними мережевими штрафами, і не заявив, що валідатори були скорочені.
Lido вказав на свою структуру розподілених операторів вузлів і спеціальний резервний фонд, що містить понад 6 750 stETH, як системи, призначені для поглинання операційних збоїв. Протокол наразі повідомляє про понад 600 операторів у своїх модулях стейкінгу.
Перегляд інфраструктури валідаторів Lido, протокол представив Curated Module v2 у липні, додавши підтримку вищих ефективних балансів валідаторів і нові механізми, що охоплюють підзвітність операторів і штрафи.
Некастодіальний стейкінг залишає ключі виведення у клієнтів
MetaMask підкреслив різницю між керуванням валідатором і контролем активів, пов'язаних із ним. Його операція стейкінгу підписує обов'язки валідатора та підтримує інфраструктуру валідатора, тоді як компанія заявляє, що не керує ключами виведення клієнтів.
Власна документація MetaMask описує стейкінг валідаторів як самокастодіальний. Користувачі вносять ETH до контракту депозиту Beacon Ethereum і зберігають контроль над процесом виведення, тоді як інфраструктура стейкінгу MetaMask керує роботою вузла.
Lido використовує пов'язаний розподіл обов'язків для операторів вузлів. Його технічна документація зазначає, що облікові дані для виведення встановлюються протоколом, тоді як оператори генерують ключі підпису валідатора, які використовуються для виконання обов'язків валідатора. Облікові дані для виведення визначають, куди може переміщатися виведений ETH.
MetaMask не повідомив, чи були доступні ключі підпису валідатора під час інциденту. Він також не розкрив доказів скорочення, викраденого стейку клієнта або несанкціонованого виведення. Допис Lido на форумі посилається на потенційні штрафи за простій і можливі мережеві штрафи як ризики, пов'язані з запобіжною реакцією, а не як підтверджені втрати.
Таким чином, поточна інформація залишається обмеженою інцидентом інфраструктури, процесом виходу валідаторів і заявленими компаніями гарантіями. MetaMask заявив, що виправлення триває із залученням зовнішніх радників з безпеки, тоді як Lido заявив, що «триває повне розслідування» і подальші оновлення будуть надані.
Aave заявляє, що його ринки залишаються операційними під час розслідування
Засновник Aave Стані Кулечов заявив, що він стежить за інцидентом MetaMask Staking і подіями, пов'язаними з Lido, після того як виходи валідаторів стали публічними.
Кулечов заявив, що ринки Aave не постраждали і що функції протоколу працюють нормально, згідно з його оновленням від 1 жовтня. На момент заяви не було повідомлено про підтверджені збої на ринках Aave, пов'язані з інцидентом MetaMask.
Коментар є доречним, оскільки stETH та інші активи стейкінгу Ethereum широко використовуються в децентралізованих фінансах, включаючи кредитні ринки. Розкриття інформації про безпеку Lido не давало вказівок власникам stETH виводити, обмінювати або переміщати свої токени під час процесу виходу валідаторів MetaMask.
Жодне публічне оновлення MetaMask, розглянуте 1 жовтня, не встановлювало кінцевого терміну завершення розслідування безпеки. Датована операційна віха походить від Lido, який очікує, що останні постраждалі валідатори, керовані MetaMask, перейдуть у стан виходу до кінця 7 жовтня, перш ніж виведення та повторний вхід продовжаться протягом орієнтовного 45-денного циклу.
