MetaMask сообщила, что расследует инцидент безопасности, затронувший часть её инфраструктуры, и начала превентивный выход затронутых валидаторов Ethereum, добавив, что не обнаружила непосредственной угрозы кошелькам MetaMask.

Компания раскрыла эту информацию 30 сентября, сообщив, что работает с внешними партнёрами и консультантами по безопасности для устранения проблемы. Согласно официальному обновлению для пользователей, опубликованному MetaMask, компания не раскрыла, какая система была скомпрометирована, как произошёл инцидент и получили ли злоумышленники доступ к информации клиентов.

Идёт выход валидаторов

MetaMask сообщила, что превентивная мера затрагивает валидаторы в рамках её некастодиальных стейкинг-операций. Компания также подчеркнула, что не управляет ключами вывода застейканных активов клиентов. В некастодиальных стейкинг-схемах оператор сервиса управляет инфраструктурой валидаторов от имени пользователей, при этом пользователи сохраняют контроль над ключами, необходимыми для вывода застейканных средств.

Lido, протокол ликвидного стейкинга на Ethereum, отдельно подтвердила, что MetaMask Staking начала выводить валидаторы Ethereum, работающие через её протокол. Ожидается, что затронутые валидаторы завершат процесс выхода до 7 октября. Выход удаляет валидатор из активного набора Ethereum, прекращая его участие в предложении блоков и аттестации в сети на время проведения расследования.

Эта мера может временно снизить стейкинг-вознаграждения, связанные с выходящими валидаторами. Lido отметила, что ETH должен пройти процесс выхода и вывода Ethereum, прежде чем сможет вернуться в стейкинг. Из-за текущей очереди на вход валидаторов полный цикл выхода, вывода и повторного входа может занять до примерно 45 дней; протокол Ethereum ограничивает количество валидаторов, которые могут войти в сеть или выйти из неё за определённый период, что и создаёт эти очереди. Валидаторы, которые отключатся до завершения выхода, также могут столкнуться со штрафами за простой.

Что остаётся неизвестным

MetaMask не раскрыла количество затронутых валидаторов и объём затронутого ETH. Компания также не сообщила, затронул ли инцидент с инфраструктурой системы за пределами её стейкинг-операций.

Для пользователей кошельков текущая оценка MetaMask разделяет инфраструктурный инцидент и непосредственную безопасность кошельков; компания заявляет, что не обнаружила непосредственной угрозы кошелькам, пока расследование продолжается.

MetaMask сообщила, что продолжит следить за ситуацией и предоставит дополнительные обновления по мере необходимости. Инцидент остаётся предметом расследования, а масштаб и техническая причина компрометации пока не установлены. Ключевые ориентиры на ближайшее время — завершение выхода валидаторов до 7 октября и любые дальнейшие раскрытия MetaMask о результатах расследования.