MetaMask a commencé à retirer les validateurs Ethereum concernés après un incident de sécurité ayant détourné environ 0,36 ETH de paiements liés à la production de blocs. Selon le chercheur en sécurité Kaden, 18 des 19 validateurs exploités par MetaMask qui ont reçu ces paiements les ont envoyés à une adresse inattendue. Kaden estime qu'environ 17 000 validateurs détenant 523 000 ETH sont en cours de retrait. MetaMask n'a pas confirmé ces chiffres. L'entreprise dit n'avoir identifié aucune menace immédiate pour les portefeuilles MetaMask.
Pourquoi c'est important
L'adresse de réception des paiements de blocs d'un validateur est distincte de celle qui permet de retirer sa mise initiale. Les revenus peuvent donc être détournés sans que les ETH placés en staking le soient. MetaMask n'a pas expliqué comment ses systèmes avaient été compromis, et ni MetaMask ni Lido n'ont signalé de slashing, une pénalité pouvant détruire une partie de la mise d'un validateur.
Ces retraits préventifs ont néanmoins un coût. Lido indique que les validateurs exploités par MetaMask ont commencé à quitter son système de staking. Son jeton stETH représente les mises mutualisées des utilisateurs et les récompenses accumulées. Selon Lido, les détenteurs de stETH n'ont aucune mesure à prendre.
Impact sur le marché
Les validateurs concernés pourraient perdre des récompenses pendant leur interruption de service et subir des pénalités s'ils sont mis hors ligne avant la fin de leur retrait. Selon Lido, le retrait puis le retour dans le système pourraient prendre jusqu'à environ 45 jours en raison de la file d'attente à l'entrée du staking Ethereum. Les derniers validateurs concernés devraient cesser de participer au staking d'ici le 7 octobre, même si leurs ETH pourraient ne pas encore avoir été retirés à cette date.
Le chiffre de 523 000 ETH en cours de retrait reste une estimation du chercheur, et non un total confirmé par MetaMask. La perte immédiatement mesurable est estimée à 0,36 ETH de paiements détournés. Le coût total dépendra de la durée pendant laquelle les validateurs resteront hors service.
Questions fréquemment posées
-
Qu'est-ce qui a été détourné lors de l'incident de staking de MetaMask ?
Selon le chercheur en sécurité Kaden, environ 0,36 ETH de paiements liés à la production de blocs Ethereum ont été envoyés à une adresse inattendue.
-
Des portefeuilles d'utilisateurs MetaMask ou des ETH en staking ont-ils été déclarés volés ?
MetaMask dit n'avoir identifié aucune menace immédiate pour les portefeuilles des utilisateurs. L'adresse de paiement d'un validateur est distincte de celle qui permet de retirer sa mise initiale.
-
Combien de validateurs Ethereum seraient en cours de retrait ?
Kaden estime qu'environ 17 000 validateurs détenant quelque 523 000 ETH sont en cours de retrait. MetaMask n'a pas confirmé ces chiffres.
-
Pourquoi ces retraits pourraient-ils réduire les récompenses de staking ?
Les validateurs concernés pourraient perdre des récompenses pendant leur interruption de service. Selon Lido, le retrait et le retour pourraient prendre jusqu'à environ 45 jours en raison de la file d'attente à l'entrée du staking Ethereum.
-
Les détenteurs de stETH de Lido doivent-ils agir ?
Non. Selon Lido, les détenteurs de stETH n'ont aucune mesure à prendre. Ce jeton représente les mises mutualisées des utilisateurs et les récompenses accumulées.
CryptoSlate
WuBlockchain
Crypto News
TheBlock
CoinTelegraph