⭐️ MetaMask Staking | Не взлом, а "инцидент" ⭐️

📌 В общем 30 сентября была скомпрометирована валидаторная инфраструктура MetaMask Staking (бывший Consensys Staking), но критического ущерба нет

📝 Суть атаки простыми словами:
🔵️ Атакующий подменил fee recipient — адрес, на который валидатор получает execution/MEV-награды за предложенный блок
🔵️ Ключи вывода (withdrawal credentials) это не затрагивает, поэтому увести сам стейк так нельзя. Revoke не нужен
🤩 Причину компрометации официально не раскрыли. Регистрация fee recipient у MEV-relay подписывается ключом валидатора, так что у атакующего, видимо, был доступ к подписи или к клиенту.

📆 Хронология 30 сентября (UTC):
🔵️ 10:27: кошелёк атакующего пополнен из Tornado Cash
🔵️ 10:47: начинаются выходы Lido-валидаторов MetaMask
🔵️ 12:12–16:46: 18 подменённых выплат, после этого поступлений нет
🔵️ 23:38: заявление MetaMask, через ≈6 мин заявление Lido
🤩 Выходы стартовали раньше первой кражи. Похоже, Consensys заметили проблему заранее, а публично раскрыли её спустя ≈7 ч после последней выплаты атакующему

📊 Масштаб:
🔵️ Украдено 0,361 ETH (≈$967) за 18 блоков, больше половины из них у валидаторов Consensys в Lido. Средства лежат на адресе атакующего, исходящих транзакций нет
🔵️ В Lido на валидаторов Consensys приходится ≈2,56% пула (≈252k ETH)
🔵️ В связи с компрометацией, Consensys сейчас поэтапно выводит все свои валидаторы и потом будет заводить заново. На период выхода и запуском новых валидаторов, ETH простаивает. Т.е. ≈2,56% пула временно не приносят наград, и годовая доходность stETH на это время чуть ниже: ≈−0,08 п.п., на 10 stETH ≈0,0006 ETH в месяц

🔍 Что грозит обычным юзерам:
🔵️ Пользователям кошелька Metamask — угрозы нет, ничего делать не нужно.
🔵️ Если вы держите валидатора ETH самостоятельно, на Metamask Staking или через др. оператора — угрозы нет, ничего делать не нужно. Тело стейка у атакующего оказаться не может при любых сценариях. Единственный ущерб — держатели валидатора ч/з Metamask Staking немного недополучат доходность (и то ее скорее всего компенсируют)
🔵️ Держателям stETH/wstETH (в т.ч. в кошельке MetaMask) делать ничего не нужно — это официальная позиция Lido. ETH в безопасности. Слэшингов: 0, Share rate stETH растёт, отрицательного ребейза нет. Курс stETH/ETH на Curve ≈0,9995: микро-дисконт ≈0,05%, депега нет

🤓 Итог: в общем пока ничего критичного, можно выдохнуть, но 3 раза постучать по дереву не помешает...