MetaMask изтегля Ethereum валидатори след пробив

MetaMask обяви в сряда, 30 септември, че се справя с инцидент по сигурността, засегнал част от инфраструктурата му, и че като предпазна мярка започва да изтегля засегнатите Ethereum валидатори от мрежата. Кратката публикация User update в сайта на компанията е почти всичко официално, което имаме: няма дума за това кои системи са компрометирани, нито как е влязъл нападателят.

„В момента не сме установили непосредствена заплаха за портфейлите MetaMask“, пише компанията. Паралелно с това тече вътрешно отстраняване на проблема „в координация с външни партньори и консултанти по сигурността“.

Какво точно се изтегля

Засегнати са валидаторите, които MetaMask оперира в рамките на протокола за liquid staking Lido. Lido потвърди, че „съответните валидатори са започнали процеса на излизане, като последните се очаква да бъдат изведени (но не напълно изтеглени) до края на 7 октомври 2026 г.“

Ключовото уточнение на MetaMask е, че стейкингът му е non-custodial: компанията подписва задълженията на валидаторите, но не държи withdrawal ключовете, свързани със стейка на клиентите. Тоест оператор, попаднал под чужд контрол, не може сам да премести ETH-а. Това е и причината щетите да изглеждат по-скоро операционни, отколкото катастрофални.

Lido предупреди, че излизането „вероятно ще доведе до пропуснати награди, както и до възможни наказания за downtime“ — валидаторите се деактивират, за да се намали рискът от slashing, а деактивираният валидатор пропуска задължения. Към момента нито MetaMask, нито Lido съобщават за реално slashing. На притежателите на stETH Lido каза, че не се изисква никакво действие.

Снимка: MetaMask

Защо връщането ще отнеме към 45 дни

Излизането до 7 октомври е само първата стъпка. Пълният цикъл излизане → изтегляне → повторно влизане може да отнеме около 45 дни по оценка на Lido, и причината не е техническа, а опашката за влизане на нови валидатори в Ethereum. ETH-ът ще се връща в протокола постепенно, докато валидаторите минават през целия цикъл.

Lido разчита на мащаба си, за да поеме удара: протоколът работи с над 600 разпределени node оператора и поддържа ad hoc резерв от над 6750 stETH точно за такива сривове. Основателят на Aave Стани Кулечов също потвърди, че пазарите на Aave работят нормално — сигнал, че засега проблемът е локализиран, а не системен.

Числата, които още не са официални

Публичните оценки за обхвата трябва да се четат с уговорка, защото MetaMask не ги е потвърдил. Появиха се твърдения за около 17 000 валидатора и приблизително 523 000 ETH под управлението на MetaMask Staking, но нито BleepingComputer, нито The Hacker News получиха потвърждение колко валидатора и колко ETH са реално засегнати.

Единствената конкретна следа идва от независим анализ: изследователят Kaden е проверил 19 валидатора на MetaMask и при 18 от тях плащанията от блокове са били пренасочени към непознат адрес, финансиран през миксера Tornado Cash. Сумата, за която се говори, е около 0,36 ETH — дребна сама по себе си, но сменен fee recipient означава, че някой е имал достъп до конфигурацията на валидаторите.

Познат сценарий

Случаят е почти огледален на инцидента с Kiln от 2025 г., когато операторът изтегли 5726 валидатора след пробив в GitHub. Там крайната цена бяха около 207 ETH пропуснати награди на протоколно ниво, без потвърден експлойт в самия протокол.

Общото между двата случая е, че слабото звено не е блокчейнът, а инфраструктурата около него — CI/CD, ключове за подписване, конфигурации. Същата схема видяхме и при кражбата на 387,5 млн. долара от Bitget, където входната точка беше продукт на трета страна, и при пробива в DIVD през два zero-day в Zammad.

За контекст: MetaMask тръгва по този път в особено неудобен момент. Преди по-малко от месец Consensys обяви, че се разделя на две независими компании, като MetaMask остава потребителската платформа под ръководството на Joseph Lubin.

Заключение

Ако ползвате MetaMask като портфейл, засега няма какво да правите — компанията не отчита заплаха за портфейлите, а ключовете за изтегляне на стейка не са у нея. Ако обаче стейквате през MetaMask Staking или държите stETH, заложете на няколко седмици без част от обичайната доходност: изходът завършва на 7 октомври, но ETH-ът се връща в оборот едва след около месец и половина. Истинският въпрос остава отворен — какво точно е било пробито и дали нападателят е имал достъп до нещо повече от адреса за наградите.