MetaMask separa incidente das wallets
O ponto central diz respeito à extensão real do comprometimento. Inicialmente, a MetaMask informou que parte de sua infraestrutura enfrentava um incidente de segurança e, depois, começou a retirar alguns validadores da Ethereum operados no âmbito de suas atividades de staking.
Essa cautela lembra que os ataques cripto agora têm como alvo tanto infraestruturas e sistemas de validação quanto as próprias wallets.
Joseph Lubin foi além. Segundo ele, as investigações realizadas até agora não apontam qualquer impacto sobre as wallets dos usuários, seus fundos, frases de recuperação ou chaves privadas.
Isso se deve, em parte, ao funcionamento da MetaMask: a wallet é não custodial. A frase de recuperação e as chaves privadas que permitem controlar os ativos ficam sob posse do usuário, e não da MetaMask em uma infraestrutura centralizada. Lubin ressalta, portanto, que essa parte sensível não fazia parte do escopo do incidente.
Isso não significa que o incidente tenha sido irrelevante. Ainda assim, a MetaMask começou a retirar vários validadores operados para seus clientes, inclusive por meio da Lido.
Chaves de validação foram substituídas
Para entender a resposta da MetaMask, é preciso distinguir dois tipos de chave.
Uma chave de validação permite que um validador da Ethereum participe do funcionamento da rede. Ela é usada, entre outras coisas, para assinar atestações e propor blocos. Seu comprometimento pode prejudicar o validador, criar riscos operacionais ou provocar determinadas penalidades.
Já a chave de retirada controla o destino para o qual os ETH em staking podem ser retirados.
Em outras palavras: uma permite que o validador opere. A outra permite recuperar o dinheiro.
Lubin afirma que a MetaMask e suas equipes não detêm as chaves de retirada de seus clientes. Assim, mesmo que parte da infraestrutura ligada aos validadores tivesse sido comprometida, o invasor não teria automaticamente os meios para transferir os ETH em staking para sua própria wallet.
Por precaução, a MetaMask e seus parceiros ainda realizaram uma rotação das chaves de validação, ou seja, substituíram as chaves potencialmente expostas. A operação exige a saída e a posterior reintegração de alguns validadores ao sistema de staking da Ethereum.
Essa distinção é importante em um ambiente no qual malwares já buscam diretamente chaves, senhas e dados que permitam acessar wallets de criptomoedas. Neste caso, nenhum comprometimento desse tipo foi identificado.
Validadores continuam sendo o ponto de atenção
A Lido confirmou em 30 de setembro que a MetaMask Staking estava retirando alguns de seus validadores após a descoberta do incidente. Os últimos validadores envolvidos devem ter deixado sua função ativa até 7 de outubro, embora o retorno completo dos ETH possa levar muito mais tempo.
A Lido estima até 45 dias para todo o ciclo de saída, retirada e eventual retorno às filas da Ethereum. Portanto, recompensas de staking podem ser perdidas durante esse período, e alguns validadores podem sofrer pequenas penalidades relacionadas à indisponibilidade.
Os detentores de stETH, no entanto, não precisam realizar nenhuma ação específica. A Lido também destaca o caráter não custodial do sistema e a ausência de controle da MetaMask sobre as chaves que permitem retirar diretamente os fundos de seus clientes.
O caso ilustra bem uma distinção que às vezes é esquecida quando um grande nome do setor cripto anuncia um incidente. “A MetaMask sofreu um comprometimento” não significa automaticamente que “as wallets da MetaMask foram invadidas”.
A BrefCrypto já lembrava, em seu guia sobre segurança de wallets cripto, que a frase de recuperação é a chave central de uma wallet não custodial. Enquanto permanecer sob controle exclusivo do usuário, uma falha que afete um serviço periférico não necessariamente dará acesso aos fundos.
A investigação, porém, ainda não foi concluída. A MetaMask continua trabalhando com seus parceiros e especialistas em segurança para determinar com precisão a origem e a extensão do comprometimento.
Por enquanto, a separação das chaves parece ter cumprido seu papel: a infraestrutura de staking foi afetada o suficiente para forçar a saída de validadores, sem dar acesso aos ETH dos clientes nem às wallets da MetaMask.
