MetaMask выводит валидаторов: очередь на вывод стейка в Ethereum достигла максимума за девять месяцев

MetaMask начала выводить из сети Ethereum часть управляемых ею валидаторов после инцидента, в результате которого вознаграждения за комиссии транзакций перенаправлялись на сторонний адрес. По данным ончейн-исследователя в сфере безопасности по имени Kaden, превентивно были выведены около 17 000 валидаторов, которыми оперировала MetaMask и которые в сумме удерживали примерно 523 000 ETH. По его оценке, анализ показал, что у 18 из 19 валидаторов, предлагавших блоки, комиссионные вознаграждения были перенаправлены на адрес, пополненный через Tornado Cash. При этом, как утверждает Kaden, злоумышленник, вероятно, получил лишь около 0,36 ETH. MetaMask не подтвердила приведенные Kaden цифры и не раскрыла причину произошедшего. Компания сообщила, что была скомпрометирована часть инфраструктуры, и в качестве меры предосторожности она выводит затронутых валидаторов, работая с клиентами, партнерами и консультантами по безопасности. MetaMask также заявила, что не выявила непосредственной угрозы для кошельков MetaMask. В компании подчеркнули, что ее стейкинг-операция носит некастодиальный характер и MetaMask не контролирует ключи вывода клиентов. Злоумышленник, имеющий доступ только на уровне валидатора, не может вывести базовый стейк. При этом компрометация ключей подписи могла бы привести к штрафам для валидаторов в случае злоупотреблений. Kaden отметил, что 821 потенциально затронутый валидатор на момент его сообщения еще не был выведен, включая три валидатора, у которых, как предполагается, вознаграждения за комиссии также были перенаправлены. Почему эти валидаторы продолжают работать и может ли атакующий изменить получателей комиссий у других валидаторов, остается неясным. MetaMask не сообщила, сколько валидаторов затронуто, были ли скомпрометированы ключи подписи и происходили ли случаи слэшинга. На фоне массового выхода валидаторов очередь на вывод стейка в Ethereum заметно выросла. По данным Validator Queue, в среду около 773 447 ETH ожидали выхода из набора валидаторов Ethereum, что соответствует расчетному времени ожидания 13 дней и 10 часов. Дополнительно Validator Queue оценил задержку следующего этапа — "withdrawal sweep" — в 7,6 дня. Согласно Validator Queue, это самый крупный бэклог с декабря 2025 года и он превышает примерно 476 000 ETH, которые ожидали вывода во время предыдущего всплеска в мае. Ethereum ограничивает скорость входа и выхода стейка из набора валидаторов, чтобы резкие изменения не дестабилизировали консенсус proof-of-stake. Validator Queue указывает скорость обработки выхода на уровне 256 ETH за эпоху, при длительности эпохи около 6,4 минуты. Оценка в 7,6 дня для "withdrawal sweep" начинает отсчет после того, как выведенные валидаторы получают статус доступных для вывода. Затем Ethereum перечисляет балансы на назначенные адреса вывода соответствующих валидаторов. Lido, где MetaMask оперирует валидаторами, оценивает, что полный цикл выхода, вывода и последующего возврата в сеть может занять до 45 дней. Возвращающиеся валидаторы также сталкиваются с очередью на вход, которая сейчас составляет 27 дней.