Egy biztonsági incidens miatt tömeges Ethereum-validátor kiléptetésbe kezdett a MetaMask. Az intézkedés körülbelül 17 000 validátort és mintegy 1,4 milliárd dollár összértékű, 523 000 letétbe helyezett ETH-t érint. A lépésre egy jutalomeltérítés támadás miatt kerülhetett sor, aminek végrehajtói az első becslések alapján csak körülbelül 0,36 ETH-nyi staking jutalmat tudtak maguk felé irányítani.
Mit közölt a MetaMask?
A MetaMask tájékoztatása szerint az incidens a staking/validátor infrastruktúrája egy részét érintette. A vállalat külső partnerekkel és biztonsági szakértőkkel együtt vizsgálja az ügyet, és az ügyfelekkel egyeztetve, elővigyázatosságból kezdte kiléptetni az érintett validátorokat.
A közlemény szerint eddig nem azonosítottak közvetlen fenyegetést a MetaMask-tárcákra nézve, de a MetaMask nem részletezte a behatolás módját, a támadó hozzáférésének körét vagy a veszteség konkrét összegét. A validátorok számára és az eltérített jutalmakra vonatkozó adatok is a Metamasktól független, harmadik elemzői forrásból származnak.
A jutalmakat másik címre irányíthatták
Egy elemző megfigyelése szerint 19, blokkjutalmat kapott MetaMask-validátor közül 18 esetében a bevétel az eredetileg kijelölt fogadó cím helyett egy Tornado Cashből finanszírozott címre került. Az eltérített jutalmak összege becslése szerint körülbelül 0,36 ETH volt. A Tornado Cash olyan szolgáltatás, amely megnehezíti a kriptós pénzmozgások követését, és elfedi a befizető és a pénzt fogadó cím közötti közvetlen kapcsolatot.
A Metamask attól tarthatott, hogy a támadó az összes potenciálisan érintett validátor jutalomfogadó címét módosíthatta, ezért dönthetett a tömeges kiléptetés mellett. Az ETH kivonása és újbóli stakingbe helyezése hosszabb folyamat. A teljes kilépési, kivonási és újraaktiválási ciklus az Ethereum belépési várólistája miatt jelenleg akár 45 napot is igénybe vehet.
Az érintett validátorok a kiesés alatt staking jutalmaktól eshetnek el. Ha a kilépés befejezése előtt leállnak, a feladataik elmulasztásáért további büntetést is kaphatnak. Az incidens végleges költségét ezért az eltérített jutalmak mellett, az esetleges büntetések és az elmaradó bevételek együtt adják majd. Az ethereum tárcák “hétköznapi használatát” a támadás a cég közlése szerint nem érintette.