🪙 Авария у MetaMask забила очередь на выход из стейкинга ETH

30 сентября MetaMask Staking (бывший Consensys Staking) раскрыла «инцидент безопасности» и из предосторожности начала выводить свои валидаторы. Запускала она их внутри Lido — крупнейшего протокола ликвидного стейкинга, который собирает 🪙ETH, отдаёт за него токен $stETH и раскидывает депозиты между десятками операторов.

Итог: за три дня очередь на вывод выросла впятеро — со штатных ~166 000 до рекордных 850 736 ETH ко 2 октября. Только MetaMask выводит около 17 000 валидаторов на ~523 000 ETH.

💵 Откуда цифра в $3,4 млрд

По лентам разошёлся инфоповод «хотят вывести $3,4 млрд».
Арифметика здесь не сходится: 786 000 ETH по текущим ~$2 715 — это ~$2,1 млрд, а не $3,4 млрд. Такая сумма вышла бы при цене 🪙ETH около $4 300 (пока о ней только можно мечтать 🫠).

И «хотят вывести» ≠ «будут продавать». Вернее, это совершенно не обязательно. Lido ожидает, что бóльшая часть этого $ETH вернётся в стейкинг. Это ротация ключей, а не бегство капитала.

⌛️ Почему выход растянулся на две недели

Забрать всё разом нельзя. В Ethereum есть churn-лимит — ограничение скорости, с которой валидаторы входят в сеть и выходят из неё (чтобы резкий наплыв или отток не расшатал консенсус).

Сейчас лимит — 256 ETH за эпоху в каждую сторону. Эпоха длится ~6,4 минуты, то есть за сутки сеть пропускает около 57 600 ETH. Делим очередь на эту пропускную способность:

786 000 / 57 600 ≈ 14 дней

На обратный ввод ещё дольше: там скопилось ~1,44 млн ETH и ожидание ~25 дней. То есть выйти и вернуться обратно = больше месяца без доходности (а она тут всего ~2,6% годовых).

🧐 Из-за чего весь сыр-бор.

Теперь немного про сам инцидент, с которого всё началось. Самих застейканных монет никто не касался — вывести чужой вклад атакующий не мог. Он подменил fee-recipient — адрес, куда валидатору капают награды за произведённые блоки — и перехватил выплаты с 18 блоков. Итого масштаб бедствия — 0,36 ETH, а размах паники — на пару миллиардов долларов. Чувствуете разницу?

Ключи вывода средств не пострадали — их у оператора попросту нет, стейкинг некастодиальный. Как написал основатель Consensys Джозеф Любин, recovery phrase и активы кошельков не были частью инцидента, «потому что не могут быть по определению».

Скомпрометированы оказались лишь подписывающие ключи части валидаторов — те, что заверяют блоки и регистрацию fee-recipient. Их сменили на всякий случай, а смена такого ключа как раз и требует выйти из сети и встать в очередь заново.

• • • • • • • • • •

Реальный ущерб — 0,36 ETH. Но чтобы его закрыть, один оператор вынужденно двигает 0.5% всего застейканного 🪙, а протокол физически не может отдать деньги быстрее 57 600 ETH в сутки. Тот же churn-лимит, что защищает консенсус, превращает осторожность одного игрока в двухнедельную пробку для всех.

И это уже не разовый кейс. Почти ровно год назад, в сентябре 2025-го, другой крупный провайдер так же превентивно вывел ~1,6 млн ETH после чужих взломов, и очередь тогда улетала на целых 46 дней.

❝[Консенсус Тьюринга]❞ | 💬 Чат | 🔄 Проверенная обменка