MetaMaskin tietoturvahäiriö pakotti lähes 17 000 validaattoria poistumisprosessiin
- MetaMask aloitti lähes 17 000 validaattorin poistumisprosessin 30. syyskuuta tietoturvahäiriön jälkeen, varotoimena, joka koskee yli puolta miljoonaa panostettua ETH:ta.
- Bitquery kertoo, että hyökkääjä sai itselleen vain 0,36 ETH:n edestä palkkiomaksuja 18 validaattorilta, eikä yhtäkään validaattoria rangaistu.
- MetaMask sanoo, ettei lompakkotuotteeseen kohdistu tunnistettua uhkaa ja että asiakkaiden nostoavaimet pysyivät myös MetaMaskin itsensä ulottumattomissa.
- Lido odottaa viimeisten MetaMaskiin liittyvien validaattoreidensa poistuvan verkosta lokakuun 7. päivään mennessä.
Bitqueryn ketjuanalyysi paljasti, että tunkeutuja ohjasi itselleen vain validaattoreiden palkkiorahaa, ei panostettua ethereumia.
Lähes 17 000 ethereum-validaattoria on siirtymässä pois aktiivisesta verkosta MetaMaskin tietoturvahäiriön vuoksi.
Kyse ei ole menetetyistä varoista vaan varotoimesta. Poistumisprosessi kattaa yli puoli miljoonaa panostettua ETH:ta, vaikka todellinen varkaus rajoittui murto-osaan siitä.
MetaMask kertoi häiriöstä 30. syyskuuta ja alkoi koordinoida validaattoriensa poistumista asiakkaidensa ja kumppaniensa kanssa. Yhtiö ei ole kertonut, miten tunkeutuja pääsi sisään tai mitkä sen sisäiset järjestelmät vaarantuivat.
Validaattorin poistuminen (validator exit)
Ethereum-validaattorilla on allekirjoitusavain konsensustehtäviin ja erillinen nostoavain, joka hallitsee panostettua ethereumia. Jos allekirjoitusavain vaarantuu, sitä ei voi vaihtaa ilman että koko validaattori poistuu verkosta ja ETH panostetaan uudelleen uusilla avaimilla. Ethereum rajoittaa päivittäisten poistumisten määrää, joten suuri erä etenee jonossa viikkoja.
Lohkoketjuanalyysiyhtiö Bitquery rekonstruoi tapahtumat ethereum-datasta ja havaitsi, että tuntematon lompakko vastaanotti palkkiomaksuja 18 MetaMaskin operoimalta validaattorilta.
Siirrot olivat yhteensä 0,36 ETH.
Bitqueryn analyysi kertoo paljon siitä, miten nopeasti MetaMask reagoi. MetaMaskin ensimmäinen validaattorin poistumispyyntö jätettiin kello 10.46 UTC 30. syyskuuta, ja ensimmäinen ohjattu maksu näkyi ketjussa 85 minuuttia myöhemmin. Kello 12.12 UTC alkaen suurin osa lohkoja ehdottaneista MetaMask-validaattoreista ohjasi palkkionsa tuntemattomaan osoitteeseen. Näin tapahtui seuraavien neljän ja puolen tunnin ajan, kunnes maksuosoitteet korjattiin.
Bitqueryn rekonstruktio viittaa siihen, että suojaustoimet käynnistyivät jo ennen kuin poikkeama näkyi ketjussa.
Bitquery ei löytänyt viitteitä siitä, että yhtäkään validaattoria olisi rangaistu niin sanotulla slash-mekanismilla.
– Lompakkotuotteeseemme ei kohdistu tunnistettua uhkaa, ja asiakkaiden nostoavaimet pysyvät edelleen meidän ulottumattomissamme, MetaMask kertoo tiedotteessaan.
Hyökkääjä pääsi siis käsiksi vain niin sanottuun fee recipient -asetukseen, joka määrittää, kenelle lohkon tuottamisesta maksettava palkkio ohjautuu.
Panostetun ethereumin hallintaan tarvittavaan nostoavaimeen ei viitteiden mukaan kajottu.
Poistumisprosessi ulottuu usean palveluntarjoajan validaattoreihin: Lidon validaattorijoukkoon, MetaMaskin omaan panostuspooliin sekä validaattoreihin, joiden palkkiot ohjautuvat Coinbase-merkityn osoitteen kautta. Ethereumin verkko rajoittaa, kuinka moni validaattori voi poistua kerrallaan, joten koko erä etenee jonossa viikkojen ajan, ja varat voidaan panostaa uusilla avaimilla vasta sen jälkeen.
Lido sanoo, ettei stETH-tokenin haltijoiden tarvitse tehdä mitään, sillä protokolla jakaa panostuksensa usean noodioperaattorin kesken ja rajoittaa riippuvuutta yksittäisestä infrastruktuurista. Viimeisten Lidon MetaMask-validaattoreiden odotetaan irtautuvan verkosta 7. lokakuuta mennessä.
Avoinna on yhä se, miten tunkeutuja pääsi MetaMaskin järjestelmiin ylipäätään. Yhtiön tekninen selvitys asiasta on vielä julkaisematta.
