MetaMask teilte mit, dass das Unternehmen einen Sicherheitsvorfall untersucht, der einen Teil seiner Infrastruktur betrifft, und vorsorgliche Exits von betroffenen Ethereum-Validatoren begonnen hat. Dabei wurde keine unmittelbare Bedrohung für MetaMask-Wallets festgestellt.

Die Ankündigung erfolgte am 30. September, als das Unternehmen erklärte, mit externen Partnern und Sicherheitsberatern zusammenzuarbeiten, um das Problem zu beheben. Laut einem offiziellen Nutzer-Update von MetaMask hat das Unternehmen nicht offengelegt, welches System kompromittiert wurde, wie sich der Vorfall ereignete oder ob Angreifer Zugang zu Kundendaten erhielten.

Exits von Validatoren laufen

MetaMask erklärte, die Vorsichtsmaßnahme betrifft Validatoren innerhalb seiner nicht-verwahrenden (non-custodial) Staking-Abläufe. Das Unternehmen betonte außerdem, dass es keine Withdrawal-Keys für die gestakten Assets der Kunden verwaltet. Bei nicht-verwahrenden Staking-Vereinbarungen betreibt der Dienstleister die Validator-Infrastruktur im Namen der Nutzer, während die Nutzer die Kontrolle über die Schlüssel behalten, die zur Auszahlung ihrer gestakten Mittel erforderlich sind.

Lido, ein Liquid-Staking-Protokoll auf Ethereum, bestätigte separat, dass MetaMask Staking begonnen hat, Ethereum-Validatoren, die über sein Protokoll betrieben werden, auszuschleusen. Die betroffenen Validatoren werden voraussichtlich den Exit-Prozess bis zum 7. Oktober abschließen. Ein Exit entfernt einen Validator aus dem aktiven Set von Ethereum und beendet dessen Teilnahme an der Blockvorschlags- und Attestationspflicht des Netzwerks, während die Untersuchung andauert.

Der Schritt könnte die Staking-Renditen der aussteigenden Validatoren vorübergehend senken. Lido wies darauf hin, dass die ETH den Exit- und Auszahlungsprozess von Ethereum durchlaufen muss, bevor sie wieder gestaket werden kann. Aufgrund der aktuellen Eintritts-Warteschlange für Validatoren kann der vollständige Zyklus aus Exit, Auszahlung und Wiedereinstieg bis zu etwa 45 Tage dauern; das Ethereum-Protokoll begrenzt, wie viele Validatoren innerhalb eines bestimmten Zeitraums in das Netzwerk eintreten oder es verlassen können, was diese Warteschlangen erzeugt. Validatoren, die vor Abschluss ihres Exits offline gehen, könnten zudem mit Ausfallzeiten verbundene Strafen erleiden.

Was weiterhin unklar bleibt

MetaMask hat weder die Anzahl der betroffenen Validatoren noch die Menge der betroffenen ETH offengelegt. Das Unternehmen hat auch nicht ange, ob der Infrastrukturvorfall Systeme über seine Staking-Abläufe hinaus beeinträchtigt hat.

Für Wallet-Nutzer trennt die aktuelle Einschätzung von MetaMask den Infrastrukturvorfall von der direkten Wallet-Sicherheit; das Unternehmen erklärt, es habe keine unmittelbare Bedrohung für Wallets festgestellt, während die Untersuchung andauert.

MetaMask erklärte, es werde die Situation weiter beobachten und gegebenenfalls zusätzliche Updates bereitstellen. Der Vorfall wird weiterhin untersucht; Umfang und technische Ursache der Kompromittierung sind noch ungeklärt. Die wichtigsten kurzfristigen Anhaltspunkte sind der Abschluss der Validator-Exits bis zum 7. Oktober sowie etwaige weitere Angaben von MetaMask zu den Ergebnissen der Untersuchung.