MetaMask haalt duizenden Ethereum-validators offline na beveiligingsincident

In dit artikel:

MetaMask heeft volgens beveiligingsonderzoeker Kaden uit voorzorg ongeveer 17.000 validators van het Ethereum-netwerk teruggetrokken. Aan deze validators zou in totaal circa 523.000 ETH gekoppeld zijn, al heeft MetaMask die aantallen nog niet officieel bevestigd. Het bedrijf erkent wel dat een deel van zijn infrastructuur door een beveiligingsincident is getroffen. Voor gebruikers van gewone MetaMask-wallets is vooralsnog geen directe dreiging vastgesteld.

Bij achttien van negentien onderzochte validators die blokbeloningen ontvingen, werden de betalingen naar een onbekend walletadres gestuurd. Naar schatting is daardoor ongeveer 0,36 ETH omgeleid. Het is nog onduidelijk hoe de bestemming van de beloningen kon worden gewijzigd. Dat betekent niet automatisch dat de ingezette ETH kan worden gestolen: voor het opnemen daarvan zijn andere sleutels nodig, waarover MetaMask naar eigen zeggen niet beschikt. Wel kan verkeerd gedrag van validators tot ‘slashing’ leiden, waarbij een deel van de inzet verloren gaat; daarvan zijn nog geen meldingen.

De terugtrekking kan vooral leiden tot gemiste inkomsten. Lido meldt dat MetaMask-validators zijn begonnen het protocol te verlaten. Omdat opnieuw staken door wachtrijen op Ethereum ongeveer 45 dagen kan duren, kunnen in die periode beloningen wegvallen. Voor houders van stETH verandert er volgens Lido niets en is geen actie nodig. MetaMask onderzoekt de oorzaak van het incident.