MetaMask haalt duizenden Ethereum-validators offline na beveiligingsincident

MetaMask heeft duizenden validators op het Ethereum-netwerk uit voorzorg teruggetrokken na een beveiligingsincident. Volgens beveiligingsonderzoeker Kaden gaat het om ongeveer 17.000 validators, waaraan gezamenlijk ruim een half miljoen Ethereum (ETH) is gekoppeld.

Vooralsnog zijn er geen aanwijzingen dat deze ETH kan worden gestolen. Wel ontdekte de onderzoeker dat beloningen van verschillende validators naar een onbekend walletadres zijn gestuurd.

Ethereum-beloningen belanden bij onbekende wallet

Kaden ontdekte verdachte activiteiten bij validators die door MetaMask worden beheerd. Van de negentien onderzochte validators die inkomsten ontvingen voor het produceren van blokken, stuurden er achttien deze betalingen naar een onverwacht adres.

Naar schatting is zo ongeveer 0,36 ETH omgeleid. Hoe de bestemming van deze betalingen kon worden aangepast, is nog niet duidelijk.

Volgens Kaden laat MetaMask daarom ongeveer 17.000 validators uit voorzorg het Ethereum-netwerk verlaten. Aan deze validators zou circa 523.000 ETH gekoppeld zijn. MetaMask heeft beide aantallen nog niet bevestigd.

Het bedrijf bevestigt wel dat een deel van zijn infrastructuur door een beveiligingsincident is getroffen. Voor gebruikers van reguliere MetaMask-wallets is volgens het bedrijf geen directe dreiging vastgesteld.

Kan de 523.000 ETH worden gestolen?

De omvang van het bedrag klinkt zorgwekkend, maar een aanvaller kan niet automatisch bij de ingezette ETH.

Bij staking wordt ETH vastgezet om het Ethereum-netwerk te beveiligen. De beloningen kunnen naar een ander adres worden gestuurd dan het adres waarop de oorspronkelijke inzet uiteindelijk wordt opgenomen.

Een aanvaller die de bestemming van de beloningen kan wijzigen, heeft daardoor niet automatisch toegang tot de ingezette ETH. MetaMask zegt bovendien niet over de sleutels te beschikken waarmee klanten hun gestakete ETH kunnen opnemen.

Wel bestaat het risico op ‘slashing’ als getroffen validators verkeerd gedrag vertonen. Daarbij kan een deel van de ingezette ETH verloren gaan. Vooralsnog zijn er geen meldingen dat dit bij de betrokken validators is gebeurd.

MetaMask-validators kunnen wekenlang beloningen mislopen

Het terugtrekken van de validators kan wel financiële gevolgen hebben. Lido bevestigt dat validators van MetaMask Staking zijn begonnen met het verlaten van zijn protocol.

Daarna moet de vrijgekomen ETH opnieuw voor staking worden ingezet. Door de wachtrijen op Ethereum kan dat proces volgens Lido ongeveer 45 dagen duren. In die periode kunnen stakingbeloningen worden misgelopen.

Voor bezitters van Lido Staked Ether (stETH) verandert er volgens Lido niets. Zij hoeven zelf geen actie te ondernemen.

MetaMask onderzoekt nog hoe het beveiligingsincident kon plaatsvinden. Ook de genoemde 17.000 validators en 523.000 ETH zijn nog niet officieel door het bedrijf bevestigd.