„MetaMask“ saugos išgąstis padidina „Ethereum“ patvirtinimo priemonės išėjimą į devynių mėnesių aukščiausią lygį
„MetaMask“ traukia tūkstančius „Ethereum“ tikrintuvų po saugumo pažeidimo, peradresuojant atlygį, sukurdama viso tinklo neatsilikimą dalyviams, bandantiems išeiti.
„Onchain“ saugumo tyrinėtojas Kadenas teigė, kad apie 17 000 „MetaMask“ valdomų tikrintuvų, turinčių maždaug 523 000 ETH, buvo aktyviai atsisakyta, po to, kai analizė parodė, kad 18 iš 19 tikrintojų, kurie siūlomi blokai buvo nukreipti į adresą, finansuojamą per „Tornado Cash“, kriptovaliutų ir kriptovaliutų protokolą, leidžiantį atlikti Ethereum duomenų perdavimo protokolą.
Anot Kadeno, užpuolikas užfiksavo tik apie 0,36 ETH. Didesnį susirūpinimą kelia tai, kaip užpuolikas gavo pakankamai prieigos, kad galėtų pakeisti mokesčių gavėjus, ir ar ši prieiga buvo išplėsta iki patvirtinimo priemonės pasirašymo raktų, o tai gali sukelti įbrėžimų.
„MetaMask“ nepatvirtino šių skaičių ir neatskleidė incidento priežasties. Vietoj to bendrovė teigė, kad dalis jos infrastruktūros buvo pažeista ir kad ji atsisako paveiktų tikrintojų, kad būtų atsargumo priemonė dirbdama su klientais, partneriais ir saugumo patarėjais. Ji teigė nenustačiusi jokios tiesioginės grėsmės „MetaMask“ piniginėms.
Bendrovė taip pat teigė, kad jos statymo operacija nėra susijusi su saugojimu ir kad ji nekontroliuoja klientų atsiėmimo raktų. Toks atskyrimas neleistų užpuolikui, turinčiam tik tikrintojo lygio prieigą, atšaukti pagrindinį akcijų paketą, tačiau tai nepanaikintų nuobaudų galimybės, jei pasirašymo raktai būtų pažeisti ir netinkamai naudojami.
Kadenas teigė, kad 821 potencialiai paveiktas tikrintojas dar nepasitraukė, įskaitant tris iš tų, kurių honorarai tariamai buvo nukreipti. Lieka neaišku, kodėl jie vis dar aktyvūs, ar užpuolikas išlaikė prieigą, kad galėtų pakeisti papildomų mokesčių gavėjus.
„MetaMask“ dar neatskleidė, kiek tikrintuvų buvo paveikta, ar buvo atskleisti pasirašymo raktai, ar įvyko koks nors įpjovimas.
„Ethereum“ atsiskaitymo atsilikimas išaugo iki 9 mėnesių didžiausio lygio
Tuo tarpu saugumo incidentas ir išėjimai jau raibuliuoja per „Ethereum“ infrastruktūrą.
Remiantis „Validator Queue“ duomenimis, trečiadienį laukė maždaug 773 447 ETH, kad galėtų išeiti iš patvirtinimo įtaiso, o tai reiškia, kad reikia laukti 13 dienų 10 valandų, kol išeinantis tikrintuvas išvalys eilę. Apskaičiuota, kad tolesnis išėmimo išvalymo vėlavimas buvo 7,6 dienos.
Remiantis „Validator Queue“ istoriniais duomenimis, tai yra didžiausias atsilikimas nuo 2025 m. gruodžio mėn.
Kliūtis atspindi „Ethereum“ įdiegtą apsaugą, o ne nesugebėjimą apdoroti operacijų.
„Ethereum“ riboja, kaip greitai statymas gali patekti į patvirtinimo priemonę arba palikti ją, kad staigūs pakeitimai nedestabilizuotų konsensuso dėl statymo įrodymų. Validatoriaus eilė parodė 256 ETH per epochą, o kiekviena epocha truko apie 6,4 minutės. Tokiu greičiu didelis išėjimų srautas turi būti apdorojamas palaipsniui, o ne vienu metu.
Papildomas 7,6 dienų valymo laikotarpis prasideda po to, kai tikrintojai išvalo išėjimo eilę ir tampa atšaukiami. Tada „Ethereum“ perkelia tinkamus tikrintuvus ir perveda likučius į jiems nurodytus išėmimo adresus.
Su MetaMask susijusiems akcijų paketams sutrikimas gali trukti ilgiau. „Lido“, kur „MetaMask“ valdo tikrintuvus, apskaičiavo, kad visas išėjimo, pasitraukimo ir galutinio sugrįžimo procesas gali užtrukti iki 45 dienų, iš dalies todėl, kad į Ethereum grįžtantys tikrintojai taip pat turi susidoroti su ilga įėjimo eile, kuri šiuo metu yra 27 dienos.
