เหตุการณ์ความปลอดภัยของ MetaMask ทำให้ต้องถอนตัวผู้ตรวจสอบธุรกรรม Ethereum ราว 17,000 ราย

MetaMask กระเป๋าคริปโตรายใหญ่เปิดเผยว่าเมื่อวันที่ 30 กันยายน ได้เกิดเหตุการณ์ด้านความปลอดภัยที่กระทบ "บางส่วนของโครงสร้างพื้นฐาน" จนต้องเริ่มถอนตัว (exit) ผู้ตรวจสอบธุรกรรม (validator) จำนวนมากบนเครือข่าย Ethereum (ETH) บริษัทระบุว่ากำลังสืบสวนและแก้ไขร่วมกับพาร์ตเนอร์ภายนอกและที่ปรึกษาด้านความปลอดภัย แต่ยังไม่เปิดเผยรายละเอียดของปัญหา ระบบที่เกี่ยวข้อง หรือวิธีการเข้าถึงตั้งต้น MetaMask ย้ำว่าไม่พบความเสี่ยงเร่งด่วนต่อกระเป๋าผู้ใช้ โดยนัยคือเหตุการณ์น่าจะจำกัดอยู่ในชั้นโครงสร้างพื้นฐานที่รองรับบริการสเตกกิ้ง มากกว่าจะกระทบกระเป๋าแบบ self-custody ของลูกค้า บริษัทโพสต์บน X ว่ากำลังตอบสนองต่อเหตุการณ์ดังกล่าว และเพื่อความรอบคอบจึงถอนตัว validator ที่ได้รับผลกระทบภายใต้บริการ noncustodial staking พร้อมประสานกับลูกค้า พาร์ตเนอร์ และที่ปรึกษาด้านความปลอดภัย เพื่อลดความเสี่ยงด้านการปฏิบัติการและความเสี่ยงระดับเครือข่ายระหว่างการสอบสวน Lido โปรโตคอลที่เกี่ยวข้องระบุว่า validator ที่ได้รับผลกระทบมีส่วนที่ดำเนินการผ่าน Lido และ MetaMask Staking ได้เริ่มถอนตัวเป็นมาตรการป้องกันหลังตรวจพบความเสี่ยงจากการถูกเจาะโครงสร้างพื้นฐาน Lido เตือนว่าหากนำ validator ออฟไลน์ก่อนสิ้นสุดกระบวนการ exit อาจเกิดค่าปรับจากการหยุดทำงาน (downtime penalties) พร้อมประเมินว่า validator ชุดสุดท้ายจะเสร็จสิ้นขั้นตอน exit ภายในสิ้นวันที่ 7 ตุลาคม 2026 แต่ไม่ได้หมายความว่า ETH จะถูกถอนออกครบถ้วนภายในวันดังกล่าว Lido ระบุว่า ผู้ถือ staked Ethereum (stETH) ไม่จำเป็นต้องดำเนินการใดๆ และคาดว่า ETH ที่ผูกกับ validator ที่ MetaMask Staking ดำเนินการจะทยอยกลับเข้าสู่โปรโตคอลตามลำดับของกระบวนการ exit, withdrawal และ reentry โดยวงจรทั้งหมดอาจใช้เวลาราว 45 วัน Lido ยังชี้ว่าเครือข่าย node operator ที่หลากหลายและกลไกความปลอดภัยอื่นๆ ถูกออกแบบมาเพื่อจำกัดผลกระทบต่อการดำเนินงานปกติของโปรโตคอล รวมถึงกองทุนสำรองเฉพาะกิจที่มีมากกว่า 6,750 stETH อีกด้านหนึ่ง เกิดความสนใจจากธุรกรรมโอนเหรียญขนาดใหญ่หลังการเปิดเผยเหตุการณ์ โดย Lookonchain รายงานว่ากระเป๋าที่ระบุว่าเกี่ยวข้องกับ Joseph Lubin ผู้ร่วมก่อตั้ง Ethereum โอน 133,298 ETH มูลค่าประมาณ 356 ล้านดอลลาร์ ไปยังที่อยู่ใหม่ แต่ยังไม่ชัดเจนว่าธุรกรรมดังกล่าวเกี่ยวข้องกับการรับมือเหตุการณ์ของ MetaMask หรือไม่ รายละเอียดสำคัญหลายประการยังไม่ถูกเปิดเผย รวมถึงจำนวน validator ที่ได้รับผลกระทบอย่างแน่ชัด ปริมาณ ETH ที่เกี่ยวข้อง สาเหตุว่าเป็นการเข้าถึงโดยไม่ได้รับอนุญาตหรือช่องโหว่ซอฟต์แวร์ และมีหลักฐานกิจกรรมของผู้โจมตีหรือไม่ นักวิจัยอิสระชื่อ Kaden ประเมินว่า มีการเบี่ยงเบนค่าตอบแทนจากการผลิตบล็อก (block-production payments) ราว 0.36 ETH หลังจาก 18 ใน 19 validator ที่ MetaMask ดำเนินการและได้รับรางวัลดังกล่าว ส่งค่าธรรมเนียมไปยังที่อยู่ที่ไม่คาดหมาย ข้อมูลที่ Kaden นำเสนอชี้ว่า validator ราว 17,000 รายถูกถอนตัว คิดเป็นประมาณ 523,000 ETH พร้อมระบุว่ายังไม่ทราบว่าผู้โจมตีมีความสามารถเปลี่ยนผู้รับค่าธรรมเนียม (fee recipients) ได้ทั้งหมดหรือไม่ และ ณ เวลาที่โพสต์มี validator ที่ระบุว่าได้รับผลกระทบ 3 รายยังไม่ถอนตัวด้วยเหตุผลที่ไม่ชัดเจน ขณะเดียวกัน Kaden ระบุด้วยว่ายังมี validator ที่อาจได้รับผลกระทบรวม 821 รายที่ยังไม่ exit โดยไม่ทราบสาเหตุ โดยรวม เหตุการณ์นี้ตอกย้ำความแตกต่างระหว่างการดูแลสินทรัพย์ในกระเป๋า (wallet custody) กับโครงสร้างพื้นฐานของการสเตกกิ้ง แม้การถูกเจาะระบบในส่วนที่เกี่ยวกับการโฮสต์ validator ระบบลงนาม (signing) การมอนิเตอร์ หรือสภาพแวดล้อมผู้ดูแล จะไม่เท่ากับการเข้าถึง seed phrase, private key หรือ withdrawal credential ของผู้ใช้โดยอัตโนมัติ แต่จนกว่าการสอบสวนจะสรุป ภาพรวมข้อเท็จจริงและระดับความรุนแรงของเหตุการณ์ยังไม่ชัดเจน ที่มา: Shutterstock