MetaMask начал вывод затронутых валидаторов Ethereum после раскрытия инцидента безопасности инфраструктуры 30 сентября, при этом Lido ожидает, что последние пострадавшие валидаторы выйдут к 7 октября.
Краткое содержание
- MetaMask выводит затронутые валидаторы Ethereum после выявления инцидента безопасности в своих инфраструктурных системах.
- Lido ожидает, что последние пострадавшие валидаторы MetaMask выйдут к 7 октября, в зависимости от состояния сети.
- MetaMask заявляет, что его сервис стейкинга остается некастодиальным и не контролирует ключи вывода клиентов напрямую.
- Lido заявляет, что держателям stETH не нужно предпринимать никаких действий, пока выведенный ETH постепенно возвращается через протокольные процессы.
- Основатель Aave Стани Кулечов заявляет, что его рынки остаются незатронутыми, а команды следят за развитием событий с Lido.
MetaMask заявил, что реагирует на продолжающийся инцидент, затрагивающий часть его инфраструктуры, и работает с внешними партнерами и консультантами по безопасности над устранением последствий. Компания заявила, что не выявила «непосредственной угрозы для кошельков MetaMask», не предоставив технических подробностей о затронутых системах.
В качестве меры предосторожности компания начала вывод затронутых валидаторов из своих некастодиальных операций стейкинга. MetaMask заявил, что не хранит ключи вывода для стейка клиентов, а это означает, что оператор валидатора не контролирует ключи, используемые для вывода базовых средств.
Публичные раскрытия, доступные по состоянию на 1 октября, не указывают метод атаки, количество затронутых валидаторов, объем вовлеченного ETH или был ли осуществлен доступ к каким-либо данным. MetaMask заявил, что продолжит мониторинг инцидента и предоставит дополнительную информацию по мере развития расследования.
MetaMask заявляет, что кошелькам не угрожает непосредственная опасность
Заявление MetaMask отделяет затронутую инфраструктуру от его кошелькового продукта. Хотя компания подтвердила инцидент безопасности, она не сообщила о компрометации кошельков MetaMask или о потерях, связанных с пользователями кошельков. Формулировка ограничилась заявлением о том, что на момент обновления не было выявлено непосредственной угрозы для кошельков.
Затронутые операции касаются MetaMask Staking, ранее известного как Consensys Staking. Ранее в сентябре Consensys Software Inc. объявила о планах работать под именем MetaMask, выделив свои протокольные и институциональные инфраструктурные бизнесы в новую компанию Consensys. Завершение этого корпоративного разделения ожидается к концу 2026 года.
Сервис стейкинга валидаторов MetaMask построен на некастодиальной модели. В его справочной документации указано, что пользователи сохраняют контроль над своим стейком и вознаграждениями, пока инфраструктура стейкинга управляет валидатором. При прямом стейкинге валидаторов ETH остается привязанным к системе стейкинга Ethereum до тех пор, пока пользователь не инициирует выход и вывод средств.
Как ранее сообщал crypto.news о сервисе стейкинга валидаторов MetaMask, продукт был запущен с использованием инфраструктуры валидаторов, управляемой Consensys. Текущее уведомление об инциденте MetaMask не указывает, затронута ли каждая часть его бизнеса стейкинга, и не определяет вовлеченный инфраструктурный компонент.
Lido ожидает, что выход валидаторов продлится до 7 октября
Lido предоставил более подробное операционное обновление после того, как MetaMask раскрыл инцидент. В раскрытии информации о безопасности от 30 сентября на своем форуме управления представитель Lido заявил, что MetaMask Staking предпринял меры предосторожности после «компрометации инфраструктуры».
Валидаторы, управляемые MetaMask Staking в рамках протокола Lido, начали выход. Lido ожидает, что последние затронутые валидаторы завершат этап выхода к концу 7 октября, хотя к тому моменту они не обязательно будут полностью выведены.
Вывод средств валидаторов Ethereum включает несколько этапов. Lido заявила, что ETH, покидающий валидаторы под управлением MetaMask, будет постепенно возвращаться в протокол по мере прохождения каждым валидатором этапов выхода, вывода и последующего повторного входа. Весь процесс может занять до примерно 45 дней из-за длительной очереди на вход валидаторов в Ethereum.
Lido сообщила пользователям stETH, что «от держателей stETH не требуется никаких действий». Протокол заявил, что процесс выхода MetaMask может привести к упущенным вознаграждениям за стейкинг и возможным штрафам за простой, если затронутые валидаторы будут отключены до завершения их выхода.
Отключение валидаторов до завершения формального процесса выхода может снизить подверженность некоторым рискам валидаторов, но неактивные валидаторы могут понести штрафы Ethereum. Lido объяснила возможный шаг с простоем усилиями по снижению рисков, связанных с потенциальными сетевыми штрафами, и не заявила, что валидаторы были подвергнуты слэшингу.
Lido указала на свою распределённую структуру операторов узлов и специальный резервный фонд, содержащий более 6 750 stETH, как на системы, предназначенные для поглощения операционных сбоев. Протокол в настоящее время сообщает о более чем 600 операторах в своих модулях стейкинга.
Перестройка инфраструктуры валидаторов Lido, протокол представил Curated Module v2 в июле, добавив поддержку более высоких эффективных балансов валидаторов и новые механизмы, охватывающие подотчётность операторов и штрафы.
Некастодиальный стейкинг сохраняет ключи вывода у клиентов
MetaMask подчеркнула различие между управлением валидатором и контролем над связанными с ним активами. Её операция стейкинга подписывает обязанности валидатора и поддерживает инфраструктуру валидатора, в то время как компания заявляет, что не управляет ключами вывода клиентов.
Собственная документация MetaMask описывает стейкинг валидаторов как самокастодиальный. Пользователи вносят ETH в контракт депозита маяка Ethereum и сохраняют контроль над процессом вывода, в то время как инфраструктура стейкинга MetaMask обеспечивает работу узла.
Lido использует связанное разделение обязанностей для операторов узлов. Её техническая документация утверждает, что учётные данные для вывода устанавливаются протоколом, в то время как операторы генерируют ключи подписи валидатора, используемые для выполнения обязанностей валидатора. Учётные данные для вывода определяют, куда может перемещаться выведенный ETH.
MetaMask не сообщила, был ли доступ к ключам подписи валидатора во время инцидента. Она также не раскрыла доказательств слэшинга, украденной доли клиента или несанкционированного вывода. Сообщение Lido на форуме ссылается на потенциальные штрафы за простой и возможные сетевые штрафы как на риски, связанные с предупредительной реакцией, а не как на подтверждённые потери.
Таким образом, текущая информация остаётся ограниченной инфраструктурным инцидентом, процессом выхода валидаторов и заявленными компаниями мерами защиты. MetaMask заявила, что устранение последствий ведётся с привлечением внешних консультантов по безопасности, в то время как Lido заявила, что «ведётся полное расследование», и последуют дальнейшие обновления.
Aave заявляет, что её рынки остаются операционными во время расследования
Основатель Aave Стани Кулечов заявил, что следит за инцидентом с MetaMask Staking и развитием событий, связанных с Lido, после того как выходы валидаторов стали публичными.
Кулечов заявил, что рынки Aave не пострадали и что функции протокола работают нормально, согласно его обновлению от 1 октября. На момент заявления не сообщалось о подтверждённых сбоях на рынках Aave, связанных с инцидентом с MetaMask.
Комментарий актуален, поскольку stETH и другие активы стейкинга Ethereum широко используются в децентрализованных финансах, включая кредитные рынки. Раскрытие информации о безопасности Lido не предписывало держателям stETH выводить, обменивать или перемещать свои токены во время процесса выхода валидаторов MetaMask.
Никакое публичное обновление MetaMask, рассмотренное 1 октября, не устанавливало крайнего срока для завершения расследования безопасности. Датированная операционная веха исходит от Lido, которая ожидает, что последние затронутые валидаторы под управлением MetaMask перейдут в состояние выхода к концу 7 октября, прежде чем выводы и повторный вход продолжатся в течение оценочного 45-дневного цикла.
