Атака на MetaMask Staking перенаправила часть наград валидаторов

MetaMask опубликовал 5 ноября обновление об инциденте с MetaMask Staking, который компания впервые зафиксировала 28 сентября. Злоумышленник получил несанкционированный доступ к части инфраструктуры сервиса — туда, где централизованно хранились адреса для сбора наград валидаторов на уровне исполнения.

Атакующий на время подменил эти адреса для некоторых валидаторов. По данным MetaMask, компания обнаружила и устранила подмену в тот же день, но за это время на чужой адрес успело уйти около 0,385 ETH. Сколько именно валидаторов затронула атака и как злоумышленник получил доступ, MetaMask не уточнил.

Ключи вывода застейканного ETH атака не затронула: MetaMask Staking их вообще не хранит, и компания не нашла следов компрометации основной суммы, ключей вывода или кошельков MetaMask. Пользователям обычных кошельков MetaMask предпринимать ничего не нужно.

0,385 ETH — не вся сумма потерь. Из предосторожности MetaMask вывела из работы все затронутые валидаторы, и этот процесс уже завершён. У части клиентов возникли временные задержки с выводом средств, а часть наград могла быть упущена, пока валидаторы выходили из работы или ждали повторной активации. Точную сумму этих потерь компания не назвала и не сообщила, будут ли компенсированы перенаправленные награды — только что работает напрямую с пострадавшими клиентами и партнёрами.

Дело в том, что у каждого валидатора есть два разных адреса. Ключи вывода регистрируются в beacon chain, и после привязки к адресу их нельзя сменить — ни один сервер оператора не может перенаправить вывод. А вот адрес получателя комиссий (fee recipient) — это настройка самого оператора, которую можно менять без ключей вывода. Именно её MetaMask хранил централизованно, и именно её подменил атакующий.

4 ноября протокол Lido опубликовал предложение по обновлению своей политики MEV с учётом enshrined proposer-builder separation (ePBS, EIP-7732) — механизма, который должен гарантировать сами платежи билдеров блоков, но не защищает от того, куда именно они направляются.