MetaMask отзывает своих валидаторов из Lido после того, как кто-то присвоил себе вознаграждения за блок

MetaMask Staking выводит своих валидаторов Ethereum из Lido после того, как вознаграждения за блок из его инфраструктуры были перенаправлены на адрес, пополненный через Tornado Cash. Фактически переведенная сумма ничтожно мала: около 0,36 ETH, менее 1 000 долларов. Однако сумма, выводимая из Lido в качестве меры предосторожности, таковой не является. По подсчётам одного из исследователей, речь идёт примерно о 523 000 ETH, что составляет около 1,4 млрд долларов.

Я всё время возвращаюсь к этому соотношению. Утечка, которую можно было бы покрыть за счёт месячного расхода на кофе, и доля в 1,4 млрд долларов выводится из крупнейшего протокола ликвидного стейкинга на Ethereum. Это говорит о том, насколько мало MetaMask хочет рисковать, гадая о том, к чему мог бы получить доступ злоумышленник.

Что заявили MetaMask и Lido

30 сентября MetaMask опубликовала в X сообщение о том, что реагирует на инцидент безопасности, затронувший часть её инфраструктуры. Компания заявила, что не обнаружила непосредственной угрозы для кошельков MetaMask и выходит из затронутых валидаторов в рамках своих некастодиальных операций по стейкингу. За этим последовало обновление для пользователей на сайте metamask.io.

Lido подтвердила выход из системы в X и в сообщении на форуме по вопросам управления, назвав причиной компрометацию инфраструктуры, которая в настоящее время расследуется. MetaMask Staking — это бывшая Consensys Staking, оператор узлов в рамках Lido. Ожидалось, что последние затронутые валидаторы завершат выход из системы (хотя и не полностью выведут средства) к концу 7 октября.

Возврат ETH — это самая длительная часть процесса. Lido сообщила, что выведенные стейки возвращаются в протокол постепенно, а полный цикл выхода, вывода и повторного входа может занять до 45 дней из-за длинной очереди на вход в сеть Ethereum. Компания также предупредила о потере вознаграждений и возможных штрафах за простой для валидаторов, отключенных от сети до завершения их выхода.

Обе компании подчеркнули, что MetaMask не хранит ключи для вывода ставок клиентов. Lido посоветовало держателям stETH не предпринимать никаких действий и указало на свою сеть операторов узлов и резервный фонд в размере более 6 750 stETH.

Что показывают данные цепочки

Единственные общедоступные данные о самой краже поступили от независимого исследователя. Каден сообщил в X, что 19 валидаторов MetaMask получили вознаграждения за блоки и что 18 из этих выплат поступили на адрес, финансируемый Tornado, вместо правильного получателя комиссии. Ни MetaMask, ни Lido не подтвердили эту информацию.

Здесь важен получатель комиссии. Это адрес, который валидатор указывает для получения приоритетных комиссий и MEV от блоков, которые он предлагает. Чтобы 18 из 19 выплат поступили не туда, кому-то нужно было изменить эту настройку, что указывает на конфигурацию валидатора, а не на что-либо со стороны кошелька. Это мое собственное толкование, а не позиция MetaMask. Компания не сообщила, что именно было скомпрометировано.

Стоит принять во внимание оговорки самого Кадена. Он отметил, что неясно, мог ли злоумышленник изменить получателей комиссий для всего набора валидаторов, и что у него «скорее всего, никогда не было возможности» вывести заставленный ETH. Однако, как он отметил, в зависимости от того, как был получен доступ к подписанию, валидаторы в принципе могли быть намеренно подвергнуты штрафным санкциям. Вероятно, это и является настоящей причиной столь массового ухода.

Цифры по масштабу не сходятся точно. По оценке Кадена, речь шла о примерно 17 000 валидаторов и 523 000 ETH, при этом 821 потенциально затронутый валидатор ещё должен выйти из системы. AMBCrypto, ссылаясь на Кадена, оценило общий объем в 513 000 ETH. Данные Validator Queue, проанализированные изданием, показали, что за тот же период вышли примерно 10 500 валидаторов с 336 000 ETH, хотя это показатель по всему рынку, а не только по MetaMask. По данным AMBCrypto, объем средств в очереди на выход за два дня вырос с примерно 205 000 ETH до более чем 850 000 ETH.

Побочные эффекты пока ограничены

Основатель Aave Стани Кулечов заявил, что его протокол кредитования следил за ситуацией вместе с Lido и не заметил никакого влияния на свои рынки, где stETH является широко используемым активом, выступающим в качестве залога. Гай Янг из Ethena отметил, что активы, обеспечивающие USDe, не имеют прямой зависимости от stETH или каких-либо других ликвидных токенов стейкинга. Сама цена ETH оставалась ниже отметки в 2 800 долларов на протяжении всего периода ажиотажа.

Linea, L2, созданная Consensys, сообщила 2 октября, что валидаторы, поддерживающие её хранилище Yield Boost, также были выведены из системы, при этом средства и контроль над хранилищем не пострадали.

Заявление Любина: кошельки в безопасности, подробности не разглашаются

Джозеф Любин, основатель Consensys, написал 2 октября в X, что, судя по результатам расследования на данный момент, нет никаких признаков того, что кошельки MetaMask или средства клиентов в них пострадали, и что пользователи владеют своими собственными ключами. По поводу отсутствующих подробностей он высказался прямо: «Мы публично не обсуждаем детали расследуемого инцидента».

Вполне справедливая политика реагирования на инциденты. При этом рынок стейкинга остаётся в том же состоянии, в каком и был изначально: 523 000 ETH находятся в движении, а публичного объяснения нет.

Не первый оператор Lido, который ушел

Kiln вывел всех своих валидаторов Ethereum в сентябре 2025 года после того, как его генеральный директор указал на потенциальный компромисс инфраструктуры. Consensys Staking, прежнее название MetaMask Staking, однажды в 2023 году случайно вывела 125 валидаторов Lido из-за недоразумения, как сообщает Crypto Briefing. Это была ошибка, а не атака, но она показывает, как быстро один оператор может переместить значительный объем ставок.

В одном из отчетов от 6 октября говорится, что вывод средств почти завершен и что MetaMask Staking опубликует отчет о расследовании инцидента в ближайшие недели. Мне не удалось подтвердить эту информацию через официальные каналы MetaMask, поэтому рассматривайте её как неподтверждённую. Пока не появится отчёт о расследовании, единственной точной цифрой в этой истории остаётся 0,36 ETH, а что именно подверглось взлому, пока остаётся предметом догадок.