MetaMask выводит из стейкинга 523 тыс. ETH после компрометации инфраструктуры

Разработчики криптовалютного кошелька MetaMask начали процедуру вывода из стейкинга около 17 тысяч валидаторов Ethereum (на сумму примерно 523 тыс. ETH) после инцидента с безопасностью. В компании подчеркнули, что угрозы для средств пользователей в их личных кошельках не обнаружено.

Инцидент был зафиксирован 30 сентября. В официальном заявлении MetaMask не раскрыла характер проблемы и не подтвердила данные независимых исследователей, однако в качестве меры предосторожности инициировала вывод затронутых валидаторов из своих некастодиальных стейкинговых сервисов.

Внешние аналитики обнаружили, что вознаграждения за создание блоков у 18 из 19 валидаторов MetaMask были перенаправлены на неизвестный адрес, пополненный через криптомиксер Tornado Cash. По оценке исследователей, злоумышленники смогли перехватить лишь незначительную часть комиссий — около 0,36 ETH. Доступ к основным застейканным средствам пользователей атакующий не получил.

Сервис Lido, через который часть пользователей MetaMask участвует в стейкинге, сообщил, что последние затронутые валидаторы должны завершить выход из протокола к 7 октября. Для токена stETH угрозы нет, однако держателям придется заново разместить средства в стейкинге, что может занять до 45 дней и повлечь за собой издержки из-за простоя.