MetaMask начала выводить валидаторы из Lido на фоне инцидента с безопасностью инфраструктуры

MetaMask в качестве меры предосторожности начала выводить свои валидаторы Ethereum из протокола стейкинга Lido на время продолжающегося инцидента с безопасностью, затронувшего часть инфраструктуры компании. MetaMask заявила, что не обнаружила непосредственной угрозы для кошельков MetaMask. Компания сообщила, что решает проблему внутри организации совместно с внешними партнерами и консультантами по безопасности, одновременно выводя затронутые валидаторы из своих некастодиальных операций по стейкингу. Lido описала причину как компрометацию инфраструктуры, которую расследуют. По словам Lido, соответствующие валидаторы уже начали выходить; компания ожидает, что последние завершат выход, но еще не полностью выведут средства, к концу 7 октября. Lido заявила, что выход, вероятно, приведет к потере вознаграждений и может повлечь штрафы за простой, если валидаторы отключатся в ближайшие дни. По словам Lido, выведенный стейк должен постепенно вернуться в протокол в ходе цикла выхода, вывода средств и повторного входа. Lido оценила длительность этого цикла максимум в 45 дней из-за увеличившейся очереди на вход в Ethereum. Ни одна из компаний не сообщила, затронуты ли валидаторы, которыми MetaMask управляет в других местах. Обе компании заявили, что схема стейкинга была некастодиальной, а MetaMask не хранила ключи для вывода средств клиентского стейка. Lido заявила, что держателям stETH ничего не нужно делать. Lido указала на широкий круг операторов узлов и специальный резервный фонд объемом более 6750 stETH как на защиту от сбоев. Анализ данных в блокчейне, проведенный исследователем Kaden и не подтвержденный ни одной из компаний, выявил, что 19 валидаторов MetaMask получали вознаграждения за блоки. По словам Kaden, 18 из этих выплат на общую сумму около 0,36 ETH — менее 1000 долларов по текущим ценам — поступили на адрес, пополненный через миксер Tornado Cash, вместо правильного адреса получателя комиссии. Анализ Kaden указывает, что в качестве меры предосторожности выводятся около 17 000 валидаторов, на которых приходится примерно 523 000 ETH стоимостью около 1,4 млрд долларов. В анализе выявлен 821 потенциально затронутый валидатор, который еще не вышел. Kaden заявил, что неясно, мог ли злоумышленник изменить адреса получателей комиссий для всего набора валидаторов. По словам Kaden, злоумышленник, вероятно, никогда не мог вывести застейканные ETH, однако валидаторы теоретически могли быть намеренно подвергнуты штрафному сокращению стейка — в зависимости от того, каким образом был получен доступ к ключам подписи. Основатель Aave Стани Кулечов заявил, что Aave следит за ситуацией совместно с Lido и что рынки Aave не пострадали. Основатель Ethena Гай Янг заявил, что активы, обеспечивающие синтетический доллар USDe, в настоящее время не имеют прямой экспозиции к stETH или другим токенам ликвидного стейкинга, и выразил ожидание, что последствий не будет. В сентябре 2025 года Kiln вывела все свои валидаторы Ethereum после выявления потенциальной компрометации инфраструктуры, как назвал это ее генеральный директор. Ни MetaMask, ни Lido не сообщили, что именно было скомпрометировано, как это произошло и кто несет ответственность. Идет расследование; компании пообещали сообщить дополнительную информацию.