MetaMask ha comenzado a salir de los validadores de Ethereum afectados después de revelar un incidente de seguridad en su infraestructura el 30 de septiembre, y Lido espera que los últimos validadores afectados salgan antes del 7 de octubre.
Resumen
- MetaMask está saliendo de los validadores de Ethereum afectados después de identificar un incidente de seguridad dentro de sus sistemas de infraestructura.
- Lido espera que los últimos validadores afectados de MetaMask salgan antes del 7 de octubre, sujeto a las condiciones de la red.
- MetaMask afirma que su servicio de staking sigue siendo no custodial y no controla directamente las claves de retiro de los clientes.
- Lido dice que los tenedores de stETH no necesitan tomar ninguna acción mientras el ETH retirado regresa gradualmente a través de los procesos del protocolo.
- El fundador de Aave, Stani Kulechov, dice que sus mercados no se ven afectados mientras los equipos monitorean los desarrollos con Lido.
MetaMask dijo que estaba respondiendo a un incidente en curso que afecta a parte de su infraestructura y que estaba trabajando con socios externos y asesores de seguridad en la remediación. La compañía dijo que no había identificado "ninguna amenaza inmediata para las billeteras MetaMask", aunque no dio detalles técnicos sobre los sistemas involucrados.
Como precaución, la compañía comenzó a salir de los validadores afectados de sus operaciones de staking no custodial. MetaMask dijo que no posee las claves de retiro para el stake de los clientes, lo que significa que el operador del validador no controla las claves utilizadas para retirar los fondos subyacentes.
Las divulgaciones públicas disponibles hasta el 1 de octubre no identifican el método de ataque, el número de validadores afectados, la cantidad de ETH involucrado ni si se accedió a algún dato. MetaMask dijo que continuaría monitoreando el incidente y proporcionaría más información a medida que avance su investigación.
MetaMask dice que las billeteras no enfrentan ninguna amenaza inmediata
La declaración de MetaMask separa la infraestructura afectada de su producto de billetera. Si bien la compañía confirmó un incidente de seguridad, no reportó un compromiso de las billeteras MetaMask ni divulgó pérdidas que involucren a usuarios de billeteras. Su redacción se limitó a decir que no se había identificado ninguna amenaza inmediata para las billeteras en el momento de la actualización.
Las operaciones afectadas involucran a MetaMask Staking, anteriormente conocido como Consensys Staking. A principios de septiembre, Consensys Software Inc. anunció planes para operar bajo el nombre de MetaMask mientras separaba sus negocios de protocolos e infraestructura institucional en una compañía Consensys recién formada. Se espera que la finalización de esa separación corporativa ocurra para fines de 2026.
El servicio de staking de validadores de MetaMask se basa en un modelo no custodial. Su documentación de soporte establece que los usuarios conservan el control sobre su stake y recompensas mientras la infraestructura de staking opera el validador. Para el staking directo de validadores, el ETH permanece vinculado al sistema de staking de Ethereum hasta que el usuario inicie una salida y un retiro.
Como crypto.news informó anteriormente sobre el servicio de staking de validadores de MetaMask, el producto se lanzó utilizando la infraestructura de validadores operada por Consensys. El aviso de incidente actual de MetaMask no dice si todas las partes de su negocio de staking se ven afectadas ni identifica el componente de infraestructura involucrado.
Lido espera que las salidas de validadores se extiendan hasta el 7 de octubre
Lido proporcionó una actualización operativa más detallada después de que MetaMask revelara el incidente. En una divulgación de seguridad del 30 de septiembre en su foro de gobernanza, un representante de Lido dijo que MetaMask Staking había tomado medidas de precaución tras un "compromiso de infraestructura".
Los validadores operados por MetaMask Staking dentro del protocolo Lido han comenzado a salir. Lido espera que los últimos validadores afectados completen la etapa de salida para el final del 7 de octubre, aunque no necesariamente se habrán retirado por completo para entonces.
Los retiros de validadores de Ethereum implican varias etapas. Lido dijo que el ETH que sale de los validadores operados por MetaMask regresaría gradualmente al protocolo a medida que cada validador pase por salida, retiro y eventual reingreso. Todo el proceso podría tardar hasta aproximadamente 45 días debido a la extensa cola de entrada de validadores de Ethereum.
Lido dijo a los usuarios de stETH que "No se requiere ninguna acción por parte de los tenedores de stETH". El protocolo dijo que el proceso de salida de MetaMask podría provocar la pérdida de recompensas de staking y posibles penalizaciones por inactividad si los validadores afectados se desconectan antes de que finalicen sus salidas.
Desconectar los validadores antes de que finalice el proceso formal de salida puede reducir la exposición a algunos riesgos de los validadores, pero los validadores inactivos pueden incurrir en penalizaciones de Ethereum. Lido atribuyó el posible paso de inactividad a los esfuerzos por reducir los riesgos relacionados con posibles penalizaciones de la red y no dijo que los validadores hubieran sido recortados.
Lido señaló su estructura distribuida de operadores de nodos y un fondo de reserva ad hoc que posee más de 6,750 stETH como sistemas destinados a absorber interrupciones operativas. El protocolo actualmente reporta más de 600 operadores en sus módulos de staking.
La revisión de la infraestructura de validadores de Lido, el protocolo introdujo el Módulo Curado v2 en julio, agregando soporte para saldos efectivos de validadores más altos y nuevos mecanismos que cubren la responsabilidad y las penalizaciones de los operadores.
El staking no custodial mantiene las claves de retiro con los clientes
MetaMask enfatizó la distinción entre operar un validador y controlar los activos vinculados a él. Su operación de staking firma las obligaciones del validador y mantiene la infraestructura del validador, mientras que la compañía dice que no gestiona las claves de retiro de los clientes.
La propia documentación de MetaMask describe el staking de validadores como autocustodial. Los usuarios depositan ETH en el contrato de depósito de beacon de Ethereum y mantienen el control sobre el proceso de retiro, mientras que la infraestructura de staking de MetaMask se encarga de la operación del nodo.
Lido utiliza una separación de funciones relacionada para los operadores de nodos. Su documentación técnica establece que las credenciales de retiro son establecidas por el protocolo, mientras que los operadores generan claves de firma de validadores utilizadas para realizar las obligaciones del validador. Las credenciales de retiro determinan hacia dónde puede moverse el ETH retirado.
MetaMask no dijo si se accedió a las claves de firma de validadores durante el incidente. Tampoco divulgó evidencia de recorte, robo de stake de clientes o retiros no autorizados. La publicación de Lido en el foro se refiere a posibles penalizaciones por inactividad y posibles penalizaciones de red como riesgos relacionados con la respuesta preventiva, no como pérdidas confirmadas.
Por lo tanto, la información actual sigue limitada al incidente de infraestructura, el proceso de salida de validadores y las salvaguardas declaradas por las compañías. MetaMask dijo que la remediación estaba en marcha con asesores de seguridad externos, mientras que Lido dijo que "se está llevando a cabo una investigación completa" y que seguirían más actualizaciones.
Aave dice que sus mercados siguen operativos durante la investigación
El fundador de Aave, Stani Kulechov, dijo que estaba monitoreando el incidente de MetaMask Staking y los desarrollos relacionados con Lido después de que se hicieran públicos los retiros de validadores.
Kulechov dijo que los mercados de Aave no se habían visto afectados y que las funciones del protocolo operaban con normalidad, según su actualización del 1 de octubre. No se había reportado ninguna interrupción verificada en los mercados de Aave vinculada al incidente de MetaMask en el momento de la declaración.
El comentario es relevante porque stETH y otros activos de staking de Ethereum se utilizan ampliamente en las finanzas descentralizadas, incluidos los mercados de préstamos. La divulgación de seguridad de Lido no instruyó a los tenedores de stETH a retirar, intercambiar o mover sus tokens durante el proceso de salida de validadores de MetaMask.
Ninguna actualización pública de MetaMask revisada el 1 de octubre dio una fecha límite para la finalización de la investigación de seguridad. El hito operativo con fecha proviene de Lido, que espera que los últimos validadores afectados operados por MetaMask entren en estado de salida para el final del 7 de octubre antes de que los retiros y el reingreso continúen durante el ciclo estimado de 45 días.
