Инцидент безопасности в MetaMask привел к выводу 17 000 валидаторов Ethereum

MetaMask, один из крупнейших криптокошельков, 30 сентября сообщил об инциденте безопасности, из-за которого компания начала выводить из работы значительное число валидаторов Ethereum (ETH), задействованных в ее стейкинг-инфраструктуре. MetaMask заявила, что совместно с внешними партнерами и консультантами по кибербезопасности ведет расследование и устраняет последствия, не раскрывая характер проблемы, затронутые системы и способ первоначального доступа. При этом компания подчеркнула, что признаков немедленной угрозы для кошельков пользователей не выявлено: речь, по ее словам, идет об инфраструктуре, поддерживающей операции стейкинга, а не о self-custody-кошельках клиентов. В публикации на X MetaMask уточнила, что «реагирует на инцидент безопасности, затронувший часть инфраструктуры», и в качестве меры предосторожности «проактивно выводит затронутые валидаторы» в рамках некастодиального стейкинга, координируя действия с клиентами, партнерами и советниками по безопасности. Компания добавила, что делает это для снижения операционных и сетевых рисков на время расследования. Среди затронутых оказались валидаторы Ethereum, работавшие через протокол Lido. В Lido сообщили, что MetaMask Staking начала вывод соответствующих валидаторов после проверки, связанной с компрометацией инфраструктуры. По оценке Lido, если валидаторы будут отключены до завершения процедуры выхода, возможны штрафы за простой и недополученные награды. Ожидается, что последние валидаторы завершат стадию выхода к концу 7 октября 2026 года, хотя это не означает, что ETH будет полностью выведен к этой дате. Lido также заявила, что держателям staked Ethereum (stETH) не требуется предпринимать никаких действий. ETH, связанный с валидаторами под управлением MetaMask Staking, как ожидается, будет постепенно возвращаться в протокол по мере прохождения цикла «выход — вывод — повторный вход». Весь процесс может занять до примерно 45 дней. Lido подчеркнула, что диверсифицированная сеть операторов нод и дополнительные механизмы безопасности рассчитаны на сдерживание сбоев в нормальной работе протокола; среди мер упомянут внеплановый резервный фонд объемом более 6 750 stETH. На фоне сообщений об инциденте внимание привлекли и крупные ончейн-переводы. Трекер Lookonchain сообщил, что кошелек, приписываемый сооснователю Ethereum Джозефу Любину, перевел 133 298 ETH (примерно на $356 млн) на новый адрес. Прямая связь этой транзакции с действиями MetaMask по реагированию на инцидент подтверждена не была. Ряд параметров остается неизвестным. MetaMask не раскрыла точное число затронутых валидаторов и объем задействованного ETH, а также не уточнила, был ли инцидент связан с несанкционированным доступом или уязвимостью ПО и обнаружена ли активность злоумышленника. Независимый исследователь Kaden оценил, что около 0,36 ETH в выплатах за производство блоков могли быть перенаправлены: по его данным, из 19 валидаторов MetaMask, получавших такие вознаграждения, 18 отправили выплаты на неожиданный адрес. Представленные Kaden данные указывают, что около 17 000 валидаторов были выведены, что соответствует примерно 523 000 ETH. При этом исследователь подчеркнул, что неизвестно, мог ли атакующий менять получателя комиссий у всех валидаторов. Кроме того, на момент публикации, по его информации, три валидатора, обозначенные как затронутые, по неясным причинам еще не были выведены; также упоминалось, что в общей сложности 821 потенциально затронутый валидатор еще не прошел выход. В целом ситуация подчеркивает разницу между хранением средств в кошельке и инфраструктурой стейкинга. Компрометация, затрагивающая хостинг валидаторов, инфраструктуру подписи, мониторинг или административные среды, сама по себе не означает доступ к seed-фразам пользователей, приватным ключам или учетным данным вывода для застейканных активов. Итоговая картина и масштаб последствий остаются неясными до завершения расследования.