MetaMask onderzoekt een beveiligingsincident dat een deel van zijn infrastructuur treft en is begonnen met het verwijderen van Ethereum-validators uit zijn staking-operatie als voorzorgsmaatregel terwijl de omvang van de compromittering wordt vastgesteld.
De aanbieder van cryptowallets maakte het incident op 30 september bekend en zei dat het samenwerkt met externe partners en beveiligingsspecialisten om het probleem in te dammen en te verhelpen. MetaMask heeft niet onthuld hoe aanvallers toegang hebben gekregen, welke specifieke systemen zijn gecompromitteerd of wanneer het incident begon.
Tot nu toe zegt het bedrijf dat het geen directe dreiging voor MetaMask-wallets heeft gevonden. Er is geen gecompromitteerde compromittering van walletherstelzinnen of privésleutels, en MetaMask heeft geen verliezen gemeld door de zelfbewaarende wallets van gebruikers die met het incident verband houden.
De reactie van het bedrijf richt zich in plaats daarvan op MetaMask Staking, de niet-bewaarende Ethereum-stakingoperatie. MetaMask vertrekt proactief de getroffen validators in samenwerking met klanten en partners terwijl het onderzoek loopt.
MetaMask benadrukte dat het de opnamesleutels voor cryptocurrency die namens haar klanten zijn gestaken, niet beheert. Dit onderscheid beperkt wat de validatoroperator met de onderliggende ETH kan doen, omdat de vereiste inloggegevens om die activa op te nemen buiten zijn controle blijven.
Sommige van de getroffen validators worden bediend via Lido, het Ethereum liquid staking protocol. Lido zei dat MetaMask is begonnen met het verwijderen van zijn Ethereum-validators uit het protocol en verwacht dat de laatste getroffen validators het exitproces uiterlijk 7 oktober zullen voltooien.
Het verwijderen van validators betekent niet per se dat staked assets verloren zijn gegaan. Lido waarschuwde echter dat de voorzorgsmaatregel kan leiden tot het verlies van stakingbeloningen en mogelijke downtime-straffen terwijl validators offline worden gehaald en de situatie wordt onderzocht.
Het volledige proces van het verlaten van validators, het opnemen van de ETH en uiteindelijk het terugbrengen in staking kan aanzienlijk langer duren. Huidige schattingen suggereren dat de cyclus ongeveer 45 dagen kan duren vanwege de validatorwachtrijen van Ethereum.
Lido heeft stETH-houders laten weten dat ze vanwege het incident geen actie hoeven te ondernemen. Het protocol zelf heeft geen compromis gemeld, en het tot nu toe gepresenteerde beveiligingsprobleem betreft infrastructuur die door MetaMask wordt beheerd.
Er zijn vroege aanwijzingen dat het incident mogelijk invloed heeft gehad op de operaties van validators. Een onafhankelijke Ethereum-beveiligingsonderzoeker meldde dat blokproductiebetalingen van een klein aantal MetaMask-beheerde validators naar een onverwacht adres werden gestuurd en schatte dat ongeveer 0,36 ETH werd omgeleid. MetaMask heeft die schatting niet publiekelijk bevestigd of uitgelegd of die transacties direct door het beveiligingsincident werden veroorzaakt.
Er zijn ook schattingen rond over het totale aantal betrokken validators, maar het bedrijf heeft deze niet bevestigd. De officiële verklaring van MetaMask vermeldt alleen dat “getroffen validators” worden verlaten, zonder hun aantal of de totale hoeveelheid ETH die eraan gekoppeld is te specificeren.
De oorzaak en de volledige gevolgen blijven daarom onopgelost. MetaMask blijft onderzoek doen met externe beveiligingsadviseurs, terwijl de exit-updates van voorzorgsvalidatoren naar verwachting doorgaan tot 7 oktober, en het bedrijf zegt dat het indien nodig verdere informatie zal verstrekken.