Увели 0,36 ETH — из стейкинга вывели 523 000

Из стейкинга Ethereum вывели 523 000 ETH. Украли при этом 0,36 ETH. В среду MetaMask сообщила об инциденте безопасности в своей стейкинг-инфраструктуре и предупредительно вывела затронутых валидаторов, а суммы посчитал исследователь безопасности Ethereum под ником Kaden, разобрав данные сети: 0,36 ETH ушло на посторонний адрес, а из стейкинга поднялось около 17 000 валидаторов с 523 000 ETH на них.

Два числа рядом

• 18 из 19 валидаторов MetaMask, успевших произвести блок, отправили выплату на чужой адрес
• Увели 0,36 ETH — около $963 по курсу $2676 за эфир
• Из стейкинга предупредительно вывели 523 000 ETH — примерно $1,40 млрд
• Ответ получился в 1,45 миллиона раз крупнее потери
• 17 000 валидаторов по 32 ETH дают 544 000 ETH — две независимые оценки сходятся

Почему украденное вышло таким маленьким, видно из последней строчки списка. У валидатора Ethereum два адреса: один отвечает за саму ставку и решает, куда уйдут монеты при выводе, второй принимает комиссии за произведённый блок. Сеть задаёт их по отдельности. Тот, кто попал внутрь, переписал второй и не дотянулся до первого, поэтому добыча свелась к блокам, которые валидаторы успели произвести за это время.

“На текущий момент мы не выявили непосредственной угрозы для кошельков MetaMask.”

— MetaMask, Заявление компании

MetaMask, из заявления в среду

Во что обходится предосторожность

Монеты в сохранности, но у предосторожности есть цена, и её можно посчитать. По данным Lido, доходность stETH сейчас 2,245% годовых. Если 523 000 ETH простоят вне стейкинга тот срок, о котором пишет CoinDesk, — до примерно 45 дней из-за очереди на вход обратно, — недополученные награды составят около 1448 ETH. По сегодняшнему курсу это $3,87 млн, то есть примерно в четыре тысячи раз больше украденного.

Lido сообщила, что валидаторы MetaMask начали покидать систему утром в среду, и ждёт, что последние перестанут стейкать к 7 октября, хотя сами монеты к этому сроку выведены не обязательно. Держателям stETH делать ничего не нужно, сказали в сервисе; ни Lido, ни MetaMask не сообщали о слэшинге — наказании, которое Ethereum применяет к валидатору, подписавшему противоречащие записи.

В тот же день заметили ещё два движения. Lookonchain обратила внимание на кошелёк, который связывает с сооснователем Ethereum Джозефом Любином: оттуда ушло 133 298 ETH, около $356 млн, на новый адрес, и связь с инцидентом не установлена. Ethena забрала примерно $75 млн из хранилища Morpho с RLUSD от Ripple и $60 млн из хранилища с PYUSD от PayPal, а затем вернула средства обратно, получив ясность.

Главного в этой истории пока нет: MetaMask не подтвердила цифры Kaden и не объяснила, как добрались до её систем. Всё, что известно сверх её собственного заявления, посчитал исследователь по данным сети. Для сравнения, потери Bitget на этой неделе доросли до $388 млн, и дыра там нашлась в стороннем продукте. Похожую картину мы разбирали у Trezor: три инцидента за 28 дней, и ни один не коснулся самих устройств — ломали периметр, а не ядро. Разница в том, что оператор, который ещё не знает, как добрались до одного ключа, обязан считать скомпрометированными все ключи того же класса. Семнадцать тысяч выведенных валидаторов — это и есть цена такого допущения.

Материал информационный и не является инвестиционной рекомендацией: суммы пересчитаны по курсу $2676 за эфир и меняются вместе с рынком.