MetaMask sta indagando su un incidente di sicurezza che riguarda parte della sua infrastruttura e ha iniziato a rimuovere i validatori Ethereum dalla sua attività di staking come precauzione mentre si determina l’ambito della compromessa.
Il fornitore del portafoglio crypto ha reso noto l’incidente il 30 settembre, affermando di collaborare con partner esterni e specialisti della sicurezza per contenere e risolvere il problema. MetaMask non ha rivelato come gli attaccanti abbiano avuto accesso, quali sistemi specifici siano stati compromessi, né quando l’incidente sia iniziato.
Finora, l’azienda afferma di non aver riscontrato alcuna minaccia immediata per i portafogli MetaMask. Non è stata annunciata alcuna compromessa delle frasi di recupero dei portafogli o delle chiavi private, e MetaMask non ha segnalato perdite dovute ai portafogli autocustodiali degli utenti collegati all’incidente.
La risposta dell’azienda si è invece concentrata su MetaMask Staking, la sua operazione di staking Ethereum non custodiale. MetaMask sta uscendo proattivamente dai validatori interessati in coordinamento con clienti e partner mentre la sua indagine è in corso.
MetaMask ha sottolineato che non controlla le chiavi di prelievo per le criptovalute stakate per conto dei suoi clienti. Questa distinzione limita ciò che l’operatore validatore può fare con l’ETH sottostante perché le credenziali necessarie per prelevare tali asset rimangono fuori dal suo controllo.
Alcuni dei validatori interessati sono gestiti tramite Lido, il protocollo di staking liquido di Ethereum. Lido ha dichiarato che MetaMask ha iniziato a uscire dai suoi validatori Ethereum dal protocollo e si aspetta che gli ultimi validatori interessati completino il processo di uscita entro il 7 ottobre.
La rimozione dei validatori non significa necessariamente la perdita degli asset in staking. Tuttavia, Lido ha avvertito che l’azione precauzionale potrebbe comportare la rinuncia alle ricompense dello staking e a possibili penalità di tempo di inattività mentre i validatori vengono rimossi offline e la situazione viene indagata.
L’intero processo di uscita dai validator, prelievo dell’ETH e infine di reinserirlo in staking potrebbe richiedere molto più tempo. Le stime attuali suggeriscono che il ciclo potrebbe durare circa 45 giorni a causa delle code dei validatori di Ethereum.
Lido ha detto ai detentori di stETH che non sono obbligati a intervenire a causa dell’incidente. Il protocollo stesso non ha segnalato una compromessa e il problema di sicurezza finora rivelato riguarda l’infrastruttura gestita da MetaMask.
Ci sono prime indicazioni che l’incidente potrebbe aver influenzato le operazioni dei validatori. Un ricercatore indipendente di sicurezza su Ethereum ha riferito che pagamenti di produzione di blocchi da un piccolo numero di validatori gestiti da MetaMask sono stati inviati a un indirizzo inaspettato e ha stimato che circa 0,36 ETH sia stato deviato. MetaMask non ha confermato pubblicamente questa stima né spiegato se tali transazioni siano state direttamente causate dall’incidente di sicurezza.
Sono circolate anche stime riguardanti il numero complessivo di validatori coinvolti, ma l’azienda non le ha confermate. La dichiarazione ufficiale di MetaMask afferma solo che i “validatori interessati” vengono usciti, senza specificarne il numero o l’importo totale di ETH associato.
La causa e le conseguenze complete rimangono quindi irrisolte. MetaMask continua a indagare con consulenti di sicurezza esterni, mentre le uscite precauzionali dei validatori dovrebbero continuare fino al 7 ottobre, e l’azienda afferma che fornirà ulteriori informazioni se opportuno.