Взлом принёс 0,36 ETH, а под выход ушли 523 000 ETH
Первой о проблеме сообщила Lido. 30 сентября на её форуме управления появилось уведомление о безопасности: MetaMask Staking, бывшая Consensys Staking, начала выводить своих валидаторов из-за взлома инфраструктуры. Это мера предосторожности. В тот же день MetaMask подтвердила инцидент. Компания разбирается с ним вместе с внешними партнёрами и консультантами по безопасности.
Самые конкретные цифры пока дают ончейн-аналитики, а не сама компания. Исследователь безопасности Эфириума Kaden насчитал 19 валидаторов MetaMask, которые за это время предложили блоки. 18 из них отправили вознаграждение на чужой адрес, пополненный через миксер Tornado Cash. Злоумышленник получил около 0,36 ETH, это меньше $1000.
Ответ MetaMask несоразмерно больше ущерба. По подсчётам Kaden, из работы выводят примерно 17 000 валидаторов с 523 000 ETH на сумму около $1,4 млрд. Ещё 821 валидатор, который тоже мог быть затронут, пока не вышел. Среди них три из тех, чьи награды ушли атакующему. MetaMask эти цифры не подтвердила. На сайте компании указано, что через её инфраструктуру застейкано больше $3 млрд в ETH.
Атакующий подменил получателя наград, но до стейка не добрался
По данным из публикаций об инциденте, злоумышленник проник в инфраструктуру валидаторов и сменил fee recipient. Это адрес, на который приходят чаевые за включение транзакций в блок. Так можно перенаправить доход, но сами застейканные ETH остаются на месте. Аналитики Bitquery восстановили картину по данным блокчейна и тоже нашли только перенаправленные чаевые. Следов слэшинга нет.
Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.
MetaMask подчёркивает, что её стейкинг некастодиальный: ключей вывода клиентов у компании нет. Поэтому доступ к валидаторам не позволяет вывести сам депозит. 1 октября компания добавила, что расследование пока не нашло признаков ущерба для кошельков или средств клиентов. Как именно взломали системы, MetaMask не сообщила ни в одном из обновлений.
Главный риск — слэшинг, поэтому валидаторы отключают заранее
Опасность не в украденных чаевых, а в ключах подписи. Если злоумышленник может подписывать от имени валидатора, он способен подписать два противоречащих друг другу блока или аттестации. За это сеть наказывает слэшингом: сжигает часть депозита в 32 ETH и принудительно отключает валидатора.
Следите за новостями в нашем Telegram-канале 2Bitcoins.
MetaMask не раскрыла, попали ли ключи подписи в руки атакующего, так что вопрос остаётся открытым. Вывод валидаторов снимает этот риск: отключённую машину уже нельзя использовать во вред. По данным Bitquery, первый запрос на выход MetaMask отправила в 10:46 UTC 30 сентября, а первая перенаправленная выплата появилась через 85 минут. Ни MetaMask, ни Lido о слэшинге не сообщали.
Специалист подключает ноутбук к блокчейн-сети в серверной
Держатели stETH теряют часть наград, но ничего делать не должны
Lido заявила, что владельцам stETH, её токена ликвидного стейкинга, ничего делать не нужно. На случай сбоев у протокола есть подушка: стейк распределён между многими операторами узлов, а в резервном фонде больше 6750 stETH.
Но и бесплатной эта мера не будет. Пока ETH выходит из стейкинга и возвращается обратно, он ничего не зарабатывает. Если в ближайшие дни валидаторы окажутся офлайн, возможны ещё и штрафы за простой. Держателям stETH это грозит временным снижением доходности пула, а не потерей вложенной суммы.
Инцидент затронул и DeFi. Основатель Aave Стани Кулечов сообщил, что следит за ситуацией вместе с Lido: на рынках Aave влияния нет, всё работает штатно. Для Aave это важно, потому что stETH там используют как залог. Не везде обошлось так спокойно: по данным Startup Fortune, из хранилищ Sentora на Morpho после новостей пошёл заметный отток.
Очередь на выход из стейкинга Эфириума — максимум с декабря 2025 года
Lido ожидает, что последние валидаторы MetaMask выйдут к концу 7 октября. Но выйти не значит вывести средства: ETH будет возвращаться в протокол постепенно, по мере прохождения цикла выхода, вывода и повторного входа. По оценке Lido, весь путь займёт до 45 дней.
Читайте также: Запуск Open USD (OUSD): новый стейблкоин от Visa, Mastercard и Stripe
Задержка возникает из-за правил самой сети. Эфириум ограничивает скорость, с которой стейк входит и выходит, чтобы не нарушить консенсус, а очередь на вход сейчас длинная. Очередь на выход тоже выросла: по данным Validator Queue, которые приводит CryptoSlate, вывода ждали 773 447 ETH. Это самая длинная очередь с декабря 2025 года.
Очередь людей у современного здания в сумерках
Другим стейкерам из-за этого, скорее всего, придётся дольше ждать собственного выхода. При этом ETH MetaMask не идут на продажу: Lido собирается вернуть их в стейкинг. Это временная заморозка ликвидности, а не давление продавцов на рынок. По данным Cointelegraph, ETH на момент публикаций стоил около $2715.
Следующая важная дата - 7 октября, когда должен выйти последний валидатор MetaMask. От компании рынок ждёт двух ответов: как взломали инфраструктуру и пострадали ли ключи подписи. MetaMask пока не подтвердила даже число валидаторов. Только её отчёт покажет, была ли это просто дорогая перестраховка или проблема окажется серьёзнее.
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
