MetaMask ha dichiarato di star indagando su un incidente di sicurezza che riguarda parte della sua infrastruttura e ha avviato uscite precauzionali dei validator Ethereum coinvolti, aggiungendo di non aver riscontrato minacce immediate ai wallet MetaMask.

L'annuncio è arrivato il 30 settembre, quando l'azienda ha detto di lavorare con partner esterni e consulenti di sicurezza per affrontare e risolvere il problema. Secondo un aggiornamento per gli utenti ufficiale pubblicato da MetaMask, l'azienda non ha divulgato quale sistema sia stato compromesso, come si sia verificato l'incidente o se gli attaccanti abbiano avuto accesso alle informazioni dei clienti.

Uscite dei validator in corso

MetaMask ha spiegato che la precauzione riguarda i validator all'interno delle sue operazioni di staking non custodial. L'azienda ha inoltre sottolineato di non gestire le chiavi di prelievo degli asset in staking dei clienti. Nelle configurazioni di staking non custodial, l'operatore del servizio gestisce l'infrastruttura dei validator per conto degli utenti, che mantengono il controllo delle chiavi necessarie per prelevare i fondi in staking.

Lido, un protocollo di liquid staking su Ethereum, ha confermato separatamente che MetaMask Staking ha iniziato a far uscire i validator Ethereum operati attraverso il suo protocollo. I validator coinvolti dovrebbero completare il processo di uscita entro il 7 ottobre. Un'uscita rimuove un validator dall'insieme attivo di Ethereum, interrompendo la sua partecipazione alle attività di proposta e attestazione dei blocchi della rete mentre l'indagine procede.

La mossa potrebbe ridurre temporaneamente le ricompense di staking associate ai validator in uscita. Lido ha fatto notare che l'ETH deve attraversare il processo di uscita e prelievo di Ethereum prima di poter tornare in staking. A causa dell'attuale coda di ingresso dei validator, l'intero ciclo di uscita, prelievo e re-ingresso potrebbe richiedere fino a circa 45 giorni; il protocollo di Ethereum limita il numero di validator che possono entrare o uscire dalla rete in un dato periodo, e ciò genera queste code. I validator che vanno offline prima di completare l'uscita potrebbero anche andare incontro a penalità legate ai tempi di inattività.

Cosa resta sconosciuto

MetaMask non ha divulgato il numero di validator coinvolti né la quantità di ETH in questione. L'azienda non ha inoltre detto se l'incidente infrastrutturale abbia interessato sistemi oltre la sua operazione di staking.

Per gli utenti dei wallet, l'attuale valutazione di MetaMask separa l'incidente infrastrutturale dalla sicurezza diretta dei wallet, e l'azienda dichiara di non aver riscontrato minacce immediate ai wallet mentre l'indagine continua.

MetaMask ha detto che continuerà a monitorare la situazione e forniràteriori aggiornamenti in modo opportuno. L'incidente resta sotto indagine, con l'ambito e la causa tecnica della compromissione ancora da chiarire. I riferimenti da seguire a breve termine sono il completamento delle uscite dei validator entro il 7 ottobre e eventuali ulteriori divulgazioni di MetaMask sui risultati dell'indagine.