MetaMask a indiqué enquêter sur un incident de sécurité affectant une partie de son infrastructure et a commencé des sorties préventives de validateurs Ethereum concernés, précisant n'avoir identifié aucune menace immédiate pour les portefeuilles MetaMask.

L'annonce est intervenue le 30 septembre, lorsque la société a déclaré travailler avec des partenaires externes et des conseillers en sécurité pour traiter et remédier au problème. Selon une mise à jour utilisateur officielle publiée par MetaMask, la société n'a pas révélé quel système a été compromis, comment l'incident s'est produit, ni si les attaquants ont obtenu l'accès aux informations des clients.

Des sorties de validateurs en cours

MetaMask a précisé que cette mesure préventive vise des validateurs au sein de ses opérations de staking non custodial. La société a également souligné qu'elle ne gère pas les clés de retrait des actifs mis en stake par ses clients. Dans les dispositifs de staking non custodial, l'opérateur du service fait fonctionner l'infrastructure des validateurs pour le compte des utilisateurs, tandis que ces derniers conservent le contrôle des clés nécessaires au retrait de leurs fonds mis en stake.

Lido, un protocole de liquid staking sur Ethereum, a séparément confirmé que MetaMask Staking avait commencé à retirer des validateurs Ethereum exploités via son protocole. Les validateurs concernés devraient achever le processus de sortie d'ici le 7 octobre. Une sortie retire un validateur de l'ensemble actif d'Ethereum, mettant fin à sa participation aux tâches de proposition et d'attestation de blocs du réseau pendant que l'enquête se poursuit.

Cette mesure pourrait temporairement réduire les récompenses de staking associées aux validateurs en cours de sortie. Lido a indiqué que l'ETH doit passer par le processus de sortie et de retrait d'Ethereum avant de pouvoir retourner en staking. En raison de la file d'attente actuelle d'entrée des validateurs, le cycle complet de sortie, de retrait et de réintégration pourrait prendre jusqu'à environ 45 jours ; le protocole d'Ethereum limite le nombre de validateurs pouvant entrer ou sortir du réseau sur une période donnée, ce qui crée ces files d'attente. Les validateurs qui passent hors ligne avant d'avoir achevé leur sortie pourraient également faire face à des pénalités liées aux temps d'arrêt.

Ce qui reste inconnu

MetaMask n'a pas divulgué le nombre de validateurs concernés ni la quantité d'ETH impliquée. La société n'a pas non plus indiqué si l'incident d'infrastructure a affecté des systèmes au-delà de son opération de staking.

Pour les utilisateurs de portefeuilles, l'évaluation actuelle de MetaMask distingue l'incident d'infrastructure de la sécurité directe des portefeuilles, et la société affirme n'avoir trouvé aucune menace immédiate pour les portefeuilles pendant que l'enquête se poursuit.

MetaMask a déclaré qu'elle continuerait de surveiller la situation et de fournir des mises à jour supplémentaires le cas échéant. L'incident fait toujours l'objet d'une enquête, la portée et la cause technique de la compromission restant non résolues. Les indicate à surveiller à court terme sont l'achèvement des sorties de validateurs d'ici le 7 octobre et toute divulgation supplémentaire de MetaMask concernant les conclusions de l'enquête.