MetaMask enquête sur un incident de sécurité affectant une partie de son infrastructure et a commencé à retirer les validateurs Ethereum de son opération de staking par précaution pendant que l’étendue de la compromission est déterminée.
Le fournisseur de portefeuilles crypto a révélé l’incident le 30 septembre, affirmant qu’il collaborait avec des partenaires externes et des spécialistes de la sécurité pour contenir et remédier au problème. MetaMask n’a pas révélé comment les attaquants ont accédé, quels systèmes spécifiques ont été compromis, ni quand l’incident a commencé.
Jusqu’à présent, la société affirme n’avoir trouvé aucune menace immédiate pour les portefeuilles MetaMask. Aucune compromission annoncée des phrases de récupération ou des clés privées de portefeuilles n’a été annoncée, et MetaMask n’a pas signalé de pertes dues aux portefeuilles auto-détenus des utilisateurs liés à l’incident.
La réponse de l’entreprise s’est plutôt concentrée sur MetaMask Staking, son opération de staking Ethereum non custodial. MetaMask quitte de manière proactive les validateurs concernés en coordination avec ses clients et partenaires pendant que son enquête se poursuit.
MetaMask a souligné qu’elle ne contrôle pas les clés de retrait pour les cryptomonnaies mises au nom de ses clients. Cette distinction limite ce que l’opérateur validateur peut faire avec l’ETH sous-jacent, car les identifiants nécessaires pour retirer ces actifs restent hors de son contrôle.
Certains des validateurs concernés sont opérés via Lido, le protocole de staking liquide d’Ethereum. Lido a indiqué que MetaMask a commencé à retirer ses validateurs Ethereum du protocole et s’attend à ce que les derniers validateurs concernés terminent le processus de sortie d’ici le 7 octobre.
Supprimer les validateurs ne signifie pas nécessairement la perte des actifs en staking. Cependant, Lido a averti que cette mesure de précaution pourrait entraîner la perte de récompenses liées au staking et d’éventuelles pénalités de temps d’arrêt pendant que les validateurs sont retirés de la ligne et que la situation est examinée.
Le processus complet de sortie des validateurs, de retrait de l’ETH, puis de remise en staking pourrait prendre beaucoup plus de temps. Les estimations actuelles suggèrent que le cycle pourrait durer environ 45 jours en raison des files d’attente des validateurs d’Ethereum.
Lido a déclaré aux détenteurs de stETH qu’ils n’avaient pas besoin d’agir à cause de l’incident. Le protocole lui-même n’a pas signalé de compromission, et le problème de sécurité révélé jusqu’à présent concerne l’infrastructure exploitée par MetaMask.
Des indications précoces indiquent que l’incident aurait pu affecter les opérations des validateurs. Un chercheur indépendant en sécurité Ethereum a rapporté que des paiements de production par blocs provenant d’un petit nombre de validateurs exploités par MetaMask ont été envoyés à une adresse inattendue et a estimé qu’environ 0,36 ETH ont été détournés. MetaMask n’a pas confirmé publiquement cette estimation ni expliqué si ces transactions étaient directement causées par l’incident de sécurité.
Des estimations concernant le nombre total de validateurs impliqués ont également circulé, mais la société ne les a pas confirmées. La divulgation officielle de MetaMask indique seulement que des « validateurs concernés » sont en cours de sortie, sans préciser leur nombre ni le montant total d’ETH qui leur est associé.
La cause et les conséquences complètes restent donc non résolues. MetaMask continue d’enquêter auprès de conseillers en sécurité externes, tandis que les sorties précautionnelles des validateurs devraient se poursuivre jusqu’au 7 octobre, et la société indique qu’elle fournira des informations supplémentaires si nécessaire.