MetaMask 證實，一名攻擊者曾短暫轉移其質押服務中部分以太坊驗證者的執行層獎勵，在當天偵測並復原之前轉移了約 0.385 ETH。相關細節出現在 11 月 5 日的事件更新中，這是該公司於 9 月 28 日首次發現的安全事件的最新說明。儘管被轉移的金額不大，此事件凸顯了以太坊設計中一個常被忽略的特性：驗證者質押的 ETH 最終去向，與其持續性獎勵收入的發送地址，兩者是有所區分的。

MetaMask 目前已揭露的資訊

根據該更新，攻擊者未經授權存取了 MetaMask Staking 背後的部分基礎設施，集中存放驗證者執行層獎勵收集地址的位置正是在那裡。入侵者更改了若干驗證者的地址。MetaMask 表示在約 0.385 ETH 的獎勵被轉移後，於同一天發現並修正了該變更。該公司尚未透露受影響的驗證者數量，也未說明攻擊者如何取得存取權。

提領端並未受影響。MetaMask Staking 並不持有客戶質押 ETH 的提領金鑰，且該公司表示沒有證據顯示質押本金、提領金鑰或 MetaMask 錢包遭入侵。一般 MetaMask 錢包用戶無需採取任何行動。

0.385 ETH 並非此事件的全部損失。MetaMask 出於預防考量讓所有受影響的驗證者退出，而這些退出現已全部完成。部分客戶經歷了暫時性的提領延遲，且該公司承認，在驗證者退出或等待重新質押期間，獎勵可能有所遺漏。MetaMask 尚未量化這些損失，也未說明被轉移的獎勵是否會獲得補償，僅表示正直接與受影響的客戶和合作夥伴合作。

獎勵轉移一事本身僅出現在 11 月 5 日的說明中。MetaMask 於 9 月 30 日和 10 月 1 日的公告描述了該事件和預防性退出，並表示當時沒有跡象顯示錢包或客戶資金受到影響。涉及的驗證者數量、攻擊者的入侵途徑以及補償問題，是未來 MetaMask 更新中值得關注的未決事項。

為何質押本金無恙，收入卻沒有

每個以太坊驗證者都對應兩個在不同位置設定的地址。以太坊的提領指引將提領憑證與費用接收地址視為不同的設定，即使兩者可以指向同一個錢包。

提領憑證註冊於信標鏈上。一旦指向某個執行層地址，該地址便無法更改，且驗證者退出時其 ETH 將發送至該地址。任何營運商伺服器都無法將其重新導向。

費用接收地址的運作方式不同。它是由運行驗譭者的一方提供的軟體設定。在非託管服務中，即為營運商，其同時持有驗證者簽署所用的金鑰。此設定告訴網路，驗證者每次提議區塊時，執行層收入應發送至何處：交易優先費以及來自區塊建構者的款項。相比之下，基礎費會被銷毀，永遠不會到達驗證者。營運商無需質押者的提領金鑰即可隨時更新費用接收地址。MetaMask 表示其集中存放的正是這一設定——也是攻擊者更改的那一項。

同樣的區分也解釋了為何損失保持很小。共識層獎勵要么保留在驗證者餘額中，要么自動掃入提領地址，因此被更改的設定從未觸及它們。執行層收入只在驗證者提議區塊時才會產生，而單一驗證者提議區塊的頻率很低，且 MetaMask 在一天內就修正了變更。只有在那段時間窗口內進行的區塊提議才支付到了錯誤的地址。

同樣的風險也存在於池化質押

這種風險並非 MetaMask 獨有。只要第三方運行驗證者，費用接收地址就位於該第三方的設定中，使這種風險成為第三方質押的結構性特徵，而非僅限於單一服務商的缺陷。Lido 的驗證者由獨立節點營運商運行，其透過規則來處理此風險：現有的 MEV 政策要求每個 Lido 驗證者將協議的執行層獎勵金庫指定為費用接收地址，且違規行為已有專門的處理流程。

該金庫是一份合約。根據 Lido 的文件，它收集執行層收入，包括 MEV 和優先費，且只有 Lido 主合約可以從中提取，將 ETH 移入協議為 stETH 持有者設立的帳務中。發送至其他任何地方的款項都不會進入該帳務。

stETH 持有者比 MetaMask Staking 客戶離這些設定更遠一步。他們持有的是可轉讓的代幣，而非任何特定驗證者的提領憑證，因此其保護完全依賴於 Lido 的合約和營運商規則。

ePBS 將保證付款，而非地址

11 月 4 日，Lido 發布了一份提案，旨在為內建提議者-建構者分離（enshrined proposer-builder separation，即 ePBS）更新該 MEV 政策，ePBS 是 EIP-7732 中規定的設計。目前外包區塊建構的驗證者依賴中繼器（relays）——受信任的中介機構，確保勝出的建構者確實付款。Lido 將 ePBS 描述為透過由協議本身保證建構者付款來降低對這種信任的需求。

該保證有其限制。根據 Lido 描述的設計，單一投標可以結合一筆無需信任的價值（一旦提議者納入投標即應支付，即使建構者從未揭示其區塊）以及一筆在協議外結算的可選信任型付款，後者承擔與當前市場相同的交易對手風險。Lido 將允許任何註冊建構者以完全無需信任的投標贏得區塊時段，但只有其審核過的允許名單上的建構者才能附加信任型付款。

對質押者而言更重要的是，該保證涵蓋支付金額，而非款項的去向。根據該設計，驗證者廣播簽署的偏好設定，為即將到來的區塊時段指定其費用接收地址，而無需信任的價值將發送至投標中指定的費用接收地址。該地址仍然源自營運商。像 MetaMask 描述的那種被更改的費用接收地址，將以與正確地址同等的確定性收到保證付款。

Lido 的草案將費用接收地址規則置於核心位置。兩種付款類型都必須送達 EL Rewards Vault，且該政策將約束每個能為 Lido 提議區塊的節點，包括備用和故障轉移機器。Lido 表示該提案將於 11 月進行投票，且僅在 Glamsterdam 升級到達以太坊主網後才會生效。在該升級到來之前，現有的 MEV 政策——連同其金庫規則——仍是 Lido 驗證者所遵循的標準。

Lido 的檢查能發現什麼

由於 ePBS 為區塊傳遞開闢了更多途徑，該提案擴大了 Lido 的監控範圍。驗證者若指定金庫以外的任何地址，或接受來自允許名單以外建構者的信任型付款，將被標記。標記還將涵蓋在結算期內未能全額到帳的信任型付款，以及在有超過最低門檻的合格外部投標可用時仍提議本地建構區塊的情況。

投標價值檢查會將每個入選投標與 Lido 監控所見的最高合格投標進行比較，並標記低於其初始 90–95% 的任何投標。該門檻是提示提出疑問的依據，而非承諾的收入份額。草案允許營運商基於正當的營運和可靠性原因放棄最高投標，且該比較僅涵蓋 Lido 自身系統觀察到的投標。

標記並不會使資金回退。費用接收地址違規仍按 Lido 現行流程處理，而其他標記將遵循其標準節點營運商協議 E 節中的聯繫和升級路徑。Lido 還計劃更新其公開的費用監控儀表板，以顯示每個 Lido 區塊經由哪條途徑產生。

如何檢查自己的質押設定

執行層付款記錄在鏈上，這正是 MetaMask 被更改地址得以被發現的方式。知道自身驗證者索引的質押者，可以在信標鏈瀏覽器上開啟這些驗證者提議的每個區塊，並檢查哪個地址收到了提議者的付款。對於 Lido 而言，費用儀表板是該池監控的公開視圖。

退出同樣值得審視。正如 MetaMask 的更新所指出的，退出驗證者與提取其 ETH 是兩個獨立的過程：已退出的驗證者仍須完成以太坊的提領處理，ETH 才可使用，如以太坊的質押文件所述。自 Pectra 升級以來，EIP-7002 允許驗證者執行層提領地址的持有者直接觸發其退出，而無需經過營運商。

以下是向任何質押服務商提出的四個問題，涵蓋了此次事件暴露的缺口：

誰可以更改我的費用接收地址？ 尋找具名的角色、任何更改前的簽核，以及每次編輯的紀錄，而非單一集中存放的設定。

你多快能發現錯誤地址？ 尋找對每個提議區塊的自動化檢查，以警報取代定期人工審查。

哪些建構者付款有保證？ 在 ePBS 下，應期待一份協議強制價值與信任型付款的明細，以及未付款項的追討說明。

沒有你我能否退出？ 確認你的提領憑證支援自行觸發的退出，並詢問預防性退出期間錯過的獎勵由誰承擔。