En angriber stak af med cirka 0.36 ETH - til en værdi af mindre end tusind dollars - fra MetaMasks Ethereum-staking-operation. Svaret? MetaMask hev cirka 17,000 validatorer, der indeholdt omkring 523,000 ETH, til en værdi af omkring 1.4 milliarder dollars i nuværende priser, ud af netværket. Forholdet mellem forvoldt skade og forhindret skade er mildt sagt ikke 1:1.

Hændelsen startede den 30. september 2026, da MetaMask afslørede, hvad de kaldte "en igangværende sikkerhedshændelse, der påvirkede en del af vores infrastruktur." Virksomheden var hurtig til at understrege, at de ikke havde fundet nogen umiddelbar trussel mod MetaMask-wallets. Problemet var begrænset til MetaMask Staking, valideringsvirksomheden tidligere kendt som Consensys Staking, der kører Ethereum-validatorer for Lido, Coinbase og deres eget pooled staking-produkt.

Hvad der egentlig blev stjålet

Ikke meget, er det ærlige svar. Ifølge en analyse af kæden foretaget af sikkerhedsforsker 0xKaden og en detaljeret undersøgelse foretaget af Bitquery ændrede angriberen gebyrmodtageradressen på omkring 18 ud af 19 MetaMask-drevne validatorer, der havde optjent blokbelønninger den 30. september. I cirka fire en halv time, mellem 12:12 og 16:46 UTC, blev bloktips - de ekstra gebyrer, brugerne betaler for at få transaktioner inkluderet i en blok - omdirigeret til en tegnebog finansieret via Tornado Cash.

Den samlede udbetaling: 0.36 ETH. Omkring $950. Tegnebogen, som modtog 0.1 ETH fra Tornado Cash kl. 10:27 UTC den morgen, var ikke flyttet den næste dag. Der blev ikke taget nogen validator stake. Der forekom ingen slashing. Angriberen kunne ikke nå selve den stakede ETH, fordi udbetalingsoplysningerne kontrolleres af klienterne, ikke af MetaMasks staking-infrastruktur.

Så hvorfor den massive reaktion? Fordi angriberen havde adgang til de maskiner, der signerer blokke og indstiller gebyradresser. Det betyder, at signeringsnøglerne muligvis er blevet eksponeret. En signeringsnøgle kan ikke roteres - den eneste løsning er at afslutte validatoren helt og starte forfra med en ny nøgle. MetaMask begyndte at trække validatorer, før det første tip overhovedet blev omdirigeret, hvilket tyder på, at de opdagede noget mistænkeligt tidligt og besluttede, at den nukleare mulighed var den sikre.

Kædereaktionen

Udgangene ramte Ethereums staking-kø hårdt. Udbetalingskøen steg fra omkring 200,000 ETH til over 700,000 ETH på en enkelt dag, hvilket øgede ventetiderne fra tre en halv dag til næsten to uger. Lido, hvis stETH-token er bakket op af validatorer, som MetaMask driver, fortalte stETH-indehavere, at den sidst berørte validator ville afslutte senest den 7. oktober. Den fulde cyklus - exit, hævning, genindbetaling under nye nøgler og genindtræden i aktiveringskøen - kunne tage op til 45 dage, hvor den pågældende ETH ikke tjener noget.

For Lido-stakers er den reelle pris ikke stjålne penge. Det er tabt tid. Omkring 0.19 ETH i tips fra 11 Lido-sæt-blokke gik til den ubudne gæst i stedet for Lidos belønningsboks. Lidos reserve på 6,750 stETH ville have dækket et worst-case slash-scenarie for sine egne validatorer. Men hvis alle MetaMask-kørende validatorer var blevet slashet samtidigt - hvilket ikke skete - ville omkring 22,000 ETH være brændt, hvilket oversteg Lidos reserve. Systemet undgik en meget større kugle.

En foruroligende baggrund

Dette sker ikke i et vakuum. Tilbage i juli rapporterede Drop Site News, at Consensys - MetaMasks moderselskab, før det skiftede navn - ubevidst havde hyret en softwareudvikler med tilknytning til Nordkorea som konsulent i omkring en måned. Der er ingen beviser, der forbinder denne hændelse med staking-bruddet den 30. september. Men Tornado Cash-finansieringen, KuCoin-routing og den stille professionalisme i angrebet er nok til at gøre enhver inden for staking-infrastruktur lidt nervøs.

Det er heller ikke første gang, at en staking-udbyder har været nødt til at trække validatorer tilbage på grund af en mistanke om kompromitteret sikkerhedskopiering. Kiln, en konkurrerende operatør, lukkede alle sine aktive validatorer ned i september sidste år efter et tab på 41 millioner dollars i sine SOL-staking-operationer, roterende signeringsnøgler og behandling af relateret infrastruktur som potentielt kompromitteret. Mønsteret er ved at blive velkendt: et lille brud, en stor sikkerhedsforanstaltning og en masse spørgsmål om, hvordan nøgler opbevares, og hvem der kan få adgang til dem.

MetaMask har ikke offentligt forklaret, hvordan angriberen kom ind, om signeringsnøgler rent faktisk blev kompromitteret, eller hvilken specifik infrastrukturkomponent der var målet. Virksomheden sagde, at den arbejder med eksterne sikkerhedspartnere og har ikke givet yderligere detaljer. For de tusindvis af stakers, hvis ETH nu sidder i en exit-kø, er tavsheden ikke ligefrem betryggende.

Konklusionen for alle, der staker ETH gennem en udbyder: din principal er sandsynligvis sikker, hvis udbyderen ikke kontrollerer udbetalingsnøgler. Men dine belønninger, din oppetid og din tålmodighed er alle på spil, når noget går galt. Et tyveri af 950 dollars udløste en valideringseksodus på 1.4 milliarder dollars og en to ugers flaskehals for udbetalinger. Matematikken er absurd, men logikken er fornuftig. Ved staking er en kompromitteret signeringsnøgle ikke et lille problem - det er en grund til at brænde alt ned og starte forfra.

---------------

Forfatter: Dorian Fenwick
Silicon Valley Newsroom
Breaking Crypto News