MetaMask, bir saldırganın Ethereum staking ödüllerini yönlendirmesine izin veren bir güvenlik ihlali hakkında yeni detaylar açıkladı. Bu müdahale şirketin staking altyapısının bir kısmını etkilese de, MetaMask kripto para cüzdanlarının, özel anahtarlarının ve müşterilerin yatırdığı fonların ele geçirilmediğini söylüyor.
Olay 28 Eylül 2026’da tespit edildi, ancak MetaMask başlangıçta etkilenen sistemler hakkında sınırlı bilgi verdi. İki gün sonra yayımlanan ilk kamuya açık duyurusu, altyapı güvenlik sorununu doğruladı ve şirketin müşterileri korumak için önlem önlemleri aldığını açıkladı.
5 Kasım’da yayımlanan bir güncellemede, MetaMask, belirli Ethereum staking ödüllerini almak için kullanılan adresleri depolayan altyapıya yetkisiz bir tarafın eriştiğini açıkladı. Saldırgan bu adresleri kısa süreliğine değiştirdi ve yaklaşık 0.385 ETH performans katmanı ödüllerinin başka yerlere gönderilmesine neden oldu.
Çalınan ödüller, müşteriler tarafından orijinal olarak yatırılan Ethereum’dan ayrıydı. MetaMask, soruşturmacıların saldırganların çekim anahtarlarını elde ettiğine veya müşterilerin stake edilmiş varlıklarını transfer etme yeteneğine sahip olduklarına dair hiçbir kanıt bulamadığını söyledi.
Bu ayrım önemlidir çünkü Ethereum staking, yatırılan fonları yönetmek ve belirli ödülleri dağıtmak için ayrı mekanizmalar kullanır. Ödül alıcı adresinin değişmesi kazançları yönlendirebilse de, otomatik olarak stake edilen kripto para üzerinde kontrol sağlamaz.
Keşfin ardından MetaMask, etkilenen validatörleri Ethereum’un staking sürecinden çekmeye başladı. Validatörler, blok önermek ve işlemleri doğrulamaktan sorumlu ağ katılımcılarıdır ve blokzincirin işleyişini sürdürmeye yardımcı olurlar.
Önlem amaçlı çıkışlar, şirket müdahaleyi araştırırken ek kayıp riskini azaltmak amacıyla yapılmıştı. MetaMask, etkilenen tüm validatörlerin artık çıktığını ve tehlikedeki sistemlerin güvence altına alındığını doğruladı.
Ancak, bu yanıt bazı staking müşterileri için geçici zorluklar yarattı. Validator çıkışları, staking sürecinden ayrılmak ve yatırılan Ethereum’u çekim için açık hale getirmek ayrı işlemler olduğu için çekimleri geciktirebilir.
Bazı müşteriler, validatörleri çıkış yaparken veya faaliyetlerine devam etmeyi beklerken potansiyel staking ödüllerini de kaçırmış olabilir. MetaMask, etkilenen müşteriler ve ortaklarla birlikte bu sonuçları ele almak ve yönlendirilen ödüllerin geri ödemesi için çalıştığını söyledi.
Şirket, güvenlik dışındaki cüzdan altyapısının ihlale karışmadığını vurguladı. Soruşturmaya göre, kripto para cüzdanlarına erişimi kontrol eden kullanıcıların Gizli Kurtarma İfadeleri ve özel anahtarları bu olay sırasında ortaya çıkmadı.
MetaMask, saldırganın kimliğini kamuoyuna açıklamadı veya yetkisiz erişimin ilk olarak nasıl elde edildiğini açıklamadı.
Düzenli MetaMask cüzdan kullanıcılarının bu olay nedeniyle herhangi bir işlem yapmasına gerek yoktur. Staking kesintisinden etkilenen müşteriler, doğrudan MetaMask veya staking hizmet sağlayıcıları tarafından verilen talimatları takip etmelidir.