MetaMask trekt duizenden Ethereum-validators terug uit staking na securityincident

MetaMask haalt getroffen Ethereum-validators uit staking nadat verdachte betalingen opdoken bij systemen die het bedrijf beheert. Een securityonderzoeker schat dat de ingreep ongeveer 17.000 validators raakt, samen goed voor circa 523.000 ETH.

Die aantallen zijn nog niet door MetaMask bevestigd. Het bedrijf bevestigt wel een lopend securityincident en zegt geen directe dreiging voor gewone MetaMask-wallets te hebben vastgesteld. Dat staat in een officiële update van 30 september.

De zaak kwam aan het licht bij betalingen aan validators die nieuwe Ethereum-blocks produceerden.

Securityonderzoeker Kaden meldde dat 18 van 19 onderzochte validators hun betalingen naar een onverwacht adres stuurden. Naar schatting werd daarbij ongeveer 0,36 ETH omgeleid.

Dat bedrag is klein vergeleken met het totale bedrag dat via de getroffen validators wordt gestaket. Het probleem zit daarom vooral in de vraag hoe het ontvangstadres kon worden aangepast.

Kaden schat dat ongeveer 17.000 validators worden teruggetrokken. Die zouden gezamenlijk rond 523.000 ETH vertegenwoordigen.

MetaMask heeft die twee cijfers zelf nog niet bevestigd.

Voor gewone gebruikers is één technisch verschil belangrijk.

MetaMask zegt dat zijn staking non-custodial werkt. Het bedrijf beheert dus niet de withdrawal keys waarmee klanten hun gestakete ETH uiteindelijk kunnen opnemen.

Een Ethereum-validator gebruikt bovendien verschillende gegevens voor opnames en betalingen uit blockproductie.

Daardoor kan iemand in theorie opbrengsten naar een ander adres sturen zonder automatisch ook de onderliggende stake te kunnen opnemen.

MetaMask zegt op dit moment geen directe dreiging voor MetaMask-wallets te hebben gevonden.

Dat is geen garantie dat het onderzoek is afgerond. Het bedrijf heeft nog niet bekendgemaakt welke toegang precies is verkregen of hoe dat kon gebeuren.

Als voorzorgsmaatregel trekt MetaMask de betrokken validators terug uit Ethereum.

Dat proces is niet direct klaar. Validators moeten via een wachtrij het netwerk verlaten voordat hun ETH verder kan worden verwerkt.

Lido meldde dat de laatste betrokken validators naar verwachting uiterlijk 7 oktober hun actieve status verliezen. Daarna kan het volledige proces nog langer duren.

Door de wachtrijen voor uitstappen en een eventuele latere terugkeer kan dat volgens Lido ongeveer 45 dagen kosten.

Tijdens die periode kunnen stakingopbrengsten worden misgelopen. Validators die te vroeg offline gaan, kunnen daarnaast met kleinere netwerkstraffen te maken krijgen.

Voor houders van stETH is volgens Lido geen actie nodig.

De omvang van de validatorgroep kan snel verkeerd worden geïnterpreteerd.

De geschatte 523.000 ETH vertegenwoordigt de stake die aan de betrokken validators wordt gekoppeld. Het betekent niet dat voor 523.000 ETH is buitgemaakt.

De tot nu toe gemelde omgeleide betalingen bedragen slechts ongeveer 0,36 ETH.

Ook is niet aangetoond dat een aanvaller de withdrawal keys bezit. MetaMask zegt juist dat het die sleutels niet namens klanten beheert.

Daarom draait het onderzoek nu vooral om de toegang tot de validatoromgeving en de manier waarop betalingsadressen konden worden gewijzigd.

MetaMask werkt naar eigen zeggen samen met externe partners en securityadviseurs aan het onderzoek.

Het bedrijf heeft nog geen technische reconstructie gepubliceerd. Daardoor blijft onduidelijk welke systemen precies zijn geraakt en hoeveel validators definitief binnen de getroffen groep vallen.

Voor wallet-gebruikers is er volgens MetaMask voorlopig geen directe actie nodig.

Voor de stakingtak ligt dat anders. Duizenden validators worden uit voorzorg uit het netwerk gehaald, terwijl onderzoekers nog proberen vast te stellen hoe een klein bedrag aan blockbetalingen kon worden omgeleid.