MetaMask виводить своїх валідаторів із Lido після того, як хтось привласнив винагороди за блок

MetaMask Staking виводить своїх валідаторів Ethereum з Lido після того, як винагороди за блоки з її інфраструктури були перенаправлені на адресу, поповнену через Tornado Cash. Сума, яка фактично була перерахована, є незначною: близько 0,36 ETH, менше ніж 1 000 доларів. Натомість сума, яку виводять з Lido в якості запобіжного заходу, є значною. Один дослідник підрахував, що йдеться про приблизно 523 000 ETH, або близько 1,4 млрд доларів.

Я постійно повертаюся до цього співвідношення. Витік, який можна було б покрити за рахунок місячного споживання кави, і частка на суму 1,4 млрд доларів вилучається з найбільшого протоколу ліквідного стейкінгу на Ethereum. Це свідчить про те, наскільки мало MetaMask хоче гадати про те, чого міг би досягти зловмисник.

Що заявили MetaMask і Lido

30 вересня MetaMask опублікувала на X повідомлення про те, що реагує на інцидент безпеки, який зачепив частину її інфраструктури. Компанія заявила, що не виявила безпосередньої загрози для гаманців MetaMask і виходить із уражених валідаторів у рамках своїх некастодіальних операцій зі стейкінгу. Після цього на metamask.io з’явилося оновлення для користувачів.

Lido підтвердило вихід із мережі на X та у повідомленні на форумі з питань управління, назвавши причиною порушення безпеки інфраструктури, яке наразі розслідується. MetaMask Staking — це колишній Consensys Staking, оператор вузлів у складі Lido. Очікувалося, що останні уражені валідатори завершать вихід із мережі, хоча й не повністю виведуть кошти, до кінця 7 жовтня.

Повернення ETH — це найповільніша частина процесу. Lido зазначило, що виведені стейки поступово повертаються до протоколу, а повний цикл виходу, виведення коштів та повторного входу може тривати до 45 днів через довгу чергу на вхід у мережу Ethereum. Компанія також попередила про втрачені винагороди та можливі штрафи за простої для валідаторів, які були відключені до завершення їхнього виходу.

Обидві компанії наголосили, що MetaMask не зберігає ключі для виведення клієнтських ставок. Lido порадило власникам stETH нічого не робити та вказало на свою мережу операторів вузлів і резервний фонд у розмірі понад 6 750 stETH.

Що показує ланцюг

Єдині публічні дані щодо самої крадіжки походять від незалежного дослідника. Каден повідомив у X, що 19 валідаторів MetaMask отримали винагороди за блоки, і що 18 із цих виплат надійшли на адресу, з якої фінансується Tornado, замість правильного одержувача комісії. Ні MetaMask, ні Lido цього не підтвердили.

Тут важливий саме одержувач комісії. Це адреса, яку валідатор вказує для отримання пріоритетних комісій та MEV від блоків, які він пропонує. Щоб 18 із 19 виплат потрапили кудись інше, хтось мав мати можливість змінити це налаштування, що вказує на конфігурацію валідатора, а не на щось із боку гаманця. Це моє власне тлумачення, а не позиція MetaMask. Компанія не повідомила, що саме було скомпрометовано.

Варто взяти до уваги застереження самого Кадена. Він зазначив, що незрозуміло, чи міг зловмисник змінити одержувачів комісій у всьому наборі валідаторів, і що вони «ймовірно ніколи не мали можливості» вивести заставлені ETH. Однак, залежно від того, як було отримано доступ до підпису, зазначив він, валідатори, в принципі, могли бути навмисно позбавлені винагороди. Це, ймовірно, і є справжньою причиною такого масштабного виходу з мережі.

Цифри щодо масштабів не збігаються чітко. За оцінкою Кадена, йшлося про близько 17 000 валідаторів і 523 000 ETH, при цьому 821 валідатор, які потенційно зазнали впливу, ще мають вийти з мережі. AMBCrypto, посилаючись на Кадена, оцінило загальну суму приблизно в 513 000 ETH. Дані Validator Queue, які видання проаналізувало, показали, що за той самий період вийшло приблизно 10 500 валідаторів і 336 000 ETH, хоча це показник для всього ринку, а не лише для MetaMask. За даними AMBCrypto, обсяг черги на вихід зріс з приблизно 205 000 ETH до понад 850 000 ETH протягом двох днів.

Ланцюгові ефекти, поки що обмежені

Засновник Aave Стані Кулечов зазначив, що його протокол кредитування, як і Lido, стежив за ситуацією і не помітив жодного впливу на свої ринки, де stETH є широко використовуваним активом для забезпечення. Гай Янг з Ethena зазначив, що активи, які забезпечують USDe, не мають прямого зв’язку зі stETH чи будь-яким іншим ліквідним токеном стейкінгу. Сама ціна ETH протягом цього періоду коливань залишалася нижче 2 800 доларів.

Linea, L2, створена Consensys, 2 жовтня повідомила, що валідатори, які підтримують її сховище Yield Boost, також були виведені, і що кошти та контроль над сховищем не зазнали змін.

Позиція Любіна: гаманці в безпеці, подробиці не розголошуються

Джозеф Лубін, засновник Consensys, 2 жовтня написав у X, що, виходячи з результатів розслідування на даний момент, немає жодних ознак того, що гаманці MetaMask або кошти клієнтів у них постраждали, а також що користувачі зберігають свої власні ключі. Щодо відсутніх деталей він висловився прямо: «Ми не обговорюємо публічно подробиці інциденту, що розслідується».

Це цілком прийнятна політика реагування на інциденти. Водночас ринок стейкінгу залишається саме там, де й був спочатку: 523 000 ETH у обігу та жодних публічних пояснень.

Це не перший оператор Lido, який пішов

У вересні 2025 року компанія Kiln вивела всіх своїх валідаторів Ethereum після того, як її генеральний директор попередив про потенційне порушення безпеки інфраструктури. Consensys Staking, колишня назва MetaMask Staking, у 2023 році випадково вивела 125 валідаторів Lido через непорозуміння, як повідомляє Crypto Briefing. Це була помилка, а не атака, але вона показує, як швидко один оператор може перемістити великий обсяг стейкінгу.

У одному звіті від 6 жовтня йдеться про те, що виведення коштів майже завершено і що MetaMask Staking опублікує аналіз інциденту в найближчі тижні. Мені не вдалося підтвердити цю інформацію через офіційні канали MetaMask, тому вважайте її неперевіреною. Доки не з’явиться аналіз інциденту, єдиною конкретною цифрою в цій історії є 0,36 ETH, а що саме було порушено, залишається лише предметом припущень.