Злоумышленник похитил примерно 0.36 ETH — стоимостью менее тысячи долларов — из системы стейкинга Ethereum, созданной MetaMask. В ответ MetaMask отключила от сети около 17 000 валидаторов, владевших примерно 523 000 ETH, что по текущим ценам составляет около 1.4 миллиарда долларов. Соотношение нанесенного ущерба к предотвращенному ущербу, мягко говоря, не 1:1.

Инцидент начался 30 сентября 2026 года, когда MetaMask сообщила о том, что она назвала «продолжающимся инцидентом безопасности, затрагивающим часть нашей инфраструктуры». Компания поспешила подчеркнуть, что не обнаружила непосредственной угрозы для кошельков MetaMask. Проблема касалась только MetaMask Staking, компании-валидатора, ранее известной как Consensys Staking, которая управляет валидаторами Ethereum для Lido, Coinbase и собственного продукта для стейкинга.

Что же на самом деле было украдено

Честно говоря, не так уж и много. Согласно анализу блокчейна, проведенному исследователем безопасности 0xKaden, и подробному расследованию Bitquery , злоумышленник изменил адрес получателя комиссий примерно у 18 из 19 валидаторов, работающих на MetaMask и получивших вознаграждение за блоки 30 сентября. В течение примерно четырех с половиной часов, с 12:12 до 16:46 UTC, чаевые за блоки — дополнительные сборы, которые пользователи платят за включение транзакций в блок, — перенаправлялись на кошелек, пополненный через Tornado Cash.

Общая сумма: 0.36 ETH. Примерно 950 долларов. Кошелек, получивший 0.1 ETH от Tornado Cash в 10:27 UTC тем утром, к следующему дню не переместился. Стейкинг валидатора не был произведен. Штрафных санкций не было. Злоумышленник не смог получить доступ к застейканным ETH, поскольку учетные данные для вывода средств контролируются клиентами, а не инфраструктурой стейкинга MetaMask.

Так почему же такая массовая реакция? Потому что у злоумышленника был доступ к машинам, которые подписывают блоки и устанавливают адреса для оплаты. Это означает, что ключи подписи могли быть скомпрометированы. Ключ подписи нельзя сменить — единственное решение — полностью выйти из валидатора и начать заново с новым ключом. MetaMask начал отзывать валидаторы еще до того, как первый табель был перенаправлен, что говорит о том, что они заметили что-то подозрительное на ранней стадии и решили, что радикальный вариант — самый безопасный.

Цепная реакция

Выходы из системы сильно ударили по очереди стейкинга Ethereum. Очередь на вывод средств подскочила с примерно 200 000 ETH до более чем 700 000 ETH за один день, увеличив время ожидания с трех с половиной дней до почти двух недель. Компания Lido, чей токен stETH обеспечен валидаторами, работающими под управлением MetaMask, сообщила держателям stETH, что последний затронутый валидатор выйдет из системы к 7 октября. Полный цикл — выход, вывод средств, повторное пополнение с использованием новых ключей и повторное вступление в очередь активации — может занять до 45 дней, в течение которых эти ETH ничего не принесут.

Для стейкеров Lido реальная цена — не украденные средства, а потерянное время. Около 0.19 ETH в виде чаевых с 11 блоков, установленных Lido, досталось злоумышленнику вместо хранилища вознаграждений Lido. Резерв Lido в 6,750 stETH покрыл бы наихудший сценарий штрафных санкций для собственных валидаторов. Но если бы штрафные санкции были применены одновременно ко всем валидаторам, работающим под управлением MetaMask (чего не произошло), сгорело бы около 22 000 ETH, что превысило бы резерв Lido. Система избежала гораздо большей опасности.

Тревожный фон

Это происходит не на пустом месте. Еще в июле Drop Site News сообщал, что Consensys — материнская компания MetaMask до ребрендинга — неосознанно наняла в качестве консультанта на месяц разработчика программного обеспечения, связанного с Северной Кореей. Нет никаких доказательств, связывающих этот инцидент с утечкой данных о стейкинге 30 сентября. Но финансирование через Tornado Cash, маршрутизация KuCoin и сдержанный профессионализм атаки достаточны, чтобы заставить любого участника стейкинговой инфраструктуры немного понервничать.

Это также не первый случай, когда провайдеру стейкинга приходится отзывать валидаторов из-за подозрения на компрометацию. Kiln, конкурирующий оператор, в сентябре прошлого года отозвал всех своих активных валидаторов после убытков в размере 41 миллиона долларов в операциях стейкинга SOL, переведя ключи подписи на резервный сервер и рассматривая связанную инфраструктуру как потенциально скомпрометированную. Схема становится знакомой: небольшая утечка, масштабные меры предосторожности и множество вопросов о том, как хранятся ключи и кто может получить к ним доступ.

MetaMask публично не объяснила, как злоумышленник проник в систему, были ли скомпрометированы ключи подписи или какой именно компонент инфраструктуры стал целью атаки. Компания заявила, что сотрудничает с внешними партнерами по безопасности, и не предоставила дополнительных подробностей. Для тысяч стейкеров, чьи ETH сейчас находятся в очереди на вывод средств, это молчание не внушает доверия.

Главный вывод для всех, кто стейкает ETH через провайдера: ваш основной капитал, вероятно, в безопасности, если провайдер не контролирует ключи вывода средств. Но ваши вознаграждения, бесперебойная работа и ваше терпение оказываются под угрозой, когда что-то идет не так. Кража 950 долларов спровоцировала массовый отток валидаторов на 1.4 миллиарда долларов и двухнедельный затор с выводом средств. Расчеты абсурдны, но логика верна. В стейкинге скомпрометированный ключ подписи — это не просто небольшая проблема, это повод все разрушить и начать заново.

---------------

Автор: Дориан Фенвик
SilicoОтдел новостей долины
Главные новости Crypto