MetaMask, altyapısının bir kısmını etkileyen bir güvenlik olayı araştırıyor ve tehlikatın kapsamı belirlenirken önlem olarak Ethereum doğrulama işlemlerinden Ethereum validatörlerini çıkarmaya başladı.
Kripto cüzdan sağlayıcısı olayı 30 Eylül’de açıkladı ve sorunu kontrol altına almak ve düzeltmek için dış ortaklar ve güvenlik uzmanlarıyla birlikte çalıştığını belirtti. MetaMask, saldırganların nasıl erişim sağladığını, hangi sistemlerin ele geçirildiğini veya olayın ne zaman başladığını açıklamadı.
Şu ana kadar şirket, MetaMask cüzdanlarına yönelik doğrudan bir tehdit bulmadığını belirtti. Cüzdan kurtarma ifadeleri veya özel anahtarlar konusunda herhangi bir tehlikenin açıklandığı bildirilmedi ve MetaMask, olayla bağlantılı kullanıcıların kendi kendine sakladığı cüzdanlarından kayıplar bildirmedi.
Şirketin yanıtı ise Ethereum staking operasyonu olan MetaMask Staking’e odaklandı. MetaMask, soruşturması devam ederken müşteriler ve ortaklarla koordineli olarak etkilenen validatörlerden proaktif olarak ayrılıyor.
MetaMask, müşterileri adına stake edilen kripto para para çekme anahtarlarını kontrol etmediğini vurguladı. Bu ayrım, doğrulayıcı operatörün temel ETH ile ne yapabileceğini sınırlıyor çünkü bu varlıkların çekilmesi için gereken kimlik bilgileri kendi kontrolü dışında kalır.
Etkilenen bazı validatörler, Ethereum likit staking protokolü Lido üzerinden işletiliyor. Lido, MetaMask’in Ethereum validatörlerini protokolden çıkarmaya başladığını ve son etkilenen validatörlerin çıkış sürecini 7 Ekim’e kadar tamamlamasını beklediğini söyledi.
Validatörlerin kaldırılması, stake edilmiş varlıkların kaybedildiği anlamına gelmez. Ancak Lido, önlem önlemlerinin staking ödüllerinin vazgeçilmesine ve validatörler çevrimdışı bırakılırken olası durdurma cezalarına yol açabileceğini ve durumun araştırıldığını belirtti.
Validatörlerden çıkma, ETH’nin geri çekilmesi ve sonunda tekrar staking süreci çok daha uzun sürebilir. Mevcut tahminler, Ethereum’un validatör kuyrukları nedeniyle bu döngünün yaklaşık 45 gün sürebileceğini gösteriyor.
Lido, stETH sahiplerine olay nedeniyle harekete geçmelerine gerek olmadığını söyledi. Protokol kendisi bir tehlikeyi bildirmedi ve şimdiye kadar açıklanan güvenlik sorunu MetaMask tarafından işletilen altyapıyla ilgili.
Olayın doğrulama işlemlerini etkilemiş olabileceğine dair erken işaretler var. Bağımsız bir Ethereum güvenlik araştırmacısı, MetaMask tarafından işletilen az sayıda validatörün blok üretim ödemelerinin beklenmedik bir adrese gönderildiğini ve yaklaşık 0.36 ETH’nin yönlendirildiğini tahmin ettiğini bildirdi. MetaMask, bu tahmini kamuoyuna doğrulamadı veya bu işlemlerin doğrudan güvenlik olayı nedeniyle mi kaynaklandığını açıklamadı.
Dahil olan validatörlerin toplam sayısına dair tahminler de dolaştı, ancak şirket bunları doğrulamadı. MetaMask’in resmi açıklamasında sadece “etkilenen validatörlerin” çıkarıldığı belirtiliyor, ancak onların sayısı veya onlarla ilişkili toplam ETH miktarı belirtilmiyor.
Bu nedenle neden ve tam sonuçları henüz çözülmemiş durumda. MetaMask, dış güvenlik danışmanlarıyla araştırmaya devam ederken, önleyici doğrulama girişlerinin 7 Ekim’e kadar devam etmesi bekleniyor ve şirket, uygun olduğunda ek bilgi sağlayacağını söylüyor.