MetaMask yatenga validators wake wa Ethereum
MetaMask ilifichua tarehe 30 Septemba kuwa tukio la usalama limeathiri sehemu ya miundombinu yake. Tukio hilo limetokea wakati mashambulizi na uvunjaji wa usalama katika crypto tayari vimefikia viwango vya rekodi mwaka 2026.
Kampuni inafanya kazi na washirika wa nje pamoja na wataalamu wa cybersecurity ili kubaini na kurekebisha tatizo. Hatua yake ya kwanza iliyoonekana ni kuwaondoa validators walioathirika kwenye shughuli zake za non-custodial staking.
MetaMask haijatangaza rasmi idadi ya validators walioathirika.
Kaden, mtafiti aliyebobea katika usalama wa Ethereum na aliyenukuliwa na CoinDesk, anakadiria hata hivyo kuwa takriban validators 17,000 wenye ETH 523,000 wanaondolewa. Uchambuzi wake pia unasema kuwa validators 18 kati ya 19 wa MetaMask waliotengeneza blocks hivi karibuni walituma malipo yao kwenye anwani isiyotarajiwa. Kwa njia hiyo, takriban ETH 0.36 huenda ilielekezwa kwingine.
Uchunguzi huo unatoa dalili ya awali kuhusu aina ya tukio hilo, lakini bado hauwezeshi kubaini chanzo chake.
MetaMask haijathibitisha wizi wa funguo za validators, kuingiliwa kwa mifumo yake ya cloud wala ushiriki wa mshambuliaji wa nje.
Wallets za MetaMask hazijaathirika kwa sasa
Tofauti hiyo ni muhimu.
Validator wa Ethereum hutumia funguo za uendeshaji kupendekeza na kuthibitisha blocks. Funguo zinazowezesha hatimaye kutoa ETH iliyowekwa kwenye staking ni tofauti. MetaMask inasema shughuli yake ya staking ni non-custodial na kwamba haishikilii withdrawal keys za wateja wake.
Kwa maneno mengine, kuingilia miundombinu inayoendesha validator hakumaanishi moja kwa moja kwamba mtu anaweza kutoa ETH 32 inayohusishwa nayo.
Ndiyo maana MetaMask inaweza kusimamisha au kuwaondoa validators kwa tahadhari, huku ikisema hakuna tishio la haraka lililogunduliwa kwa wallets za kawaida za watumiaji wake.
Miundombinu ya staking yenyewe imegawanywa katika teknolojia kadhaa. MetaMask hutumia Teku na Lighthouse kwa consensus layer, pamoja na Geth na Besu kwa execution layer, huku servers zikisambazwa kati ya AWS na Azure katika maeneo kadhaa ya kijiografia.
Muundo huu hupunguza maeneo ya pekee ya kushindwa, lakini hauondoi kabisa uwezekano wa kuingiliwa.
Tukio hili linaonyesha hasa kuwa wallet ya self-custodial na miundombinu ya staking hazina attack surface inayofanana kabisa. Malware zinazolenga wallets za crypto moja kwa moja kwa kawaida hutafuta seed phrases, sessions au private keys. Katika tukio hili, taarifa zilizopo zinaelekeza zaidi kwenye mazingira yanayotumiwa kuendesha validators.
Kwa sasa, MetaMask haiwaombi watumiaji wake wa kawaida kuhamisha fedha zao au kubadilisha wallet.
Lido huenda ikapoteza zawadi kwa muda
Madhara yanayoonekana zaidi yako upande wa staking.
MetaMask Staking hutumia, miongoni mwa wengine, validators kwa ajili ya Lido. Protocol hiyo imethibitisha kuanza kwa kuondolewa kwao na inakadiria kuwa validators wa mwisho walioathirika wanaweza kuondoka kwenye mtandao kufikia 7 Oktoba.
Kuondoa maelfu kadhaa ya validators wa Ethereum hakufanyiki mara moja. Protocol hutumia foleni ili kuzuia kiasi kikubwa cha ETH kuingia au kutoka ghafla kwenye mfumo wa validation.
Baada ya validators kuondolewa, ETH huenda ikahitaji kugawiwa upya na kisha kuwekwa tena kwenye foleni ya activation. Lido inakadiria kuwa mchakato mzima unaweza kuchukua hadi takriban siku 45. Katika kipindi hicho, baadhi ya ETH huenda zisisaidie tena kuzalisha mapato, na adhabu zinazohusiana na kutokuwa na shughuli bado zinawezekana.
Hata hivyo, kwa mujibu wa Lido, wenye stETH hawahitaji kuchukua hatua yoyote maalum.
Madhara ya kifedha pia ni tofauti sana na wizi mkubwa wa fedha. Uchunguzi wa awali unataja tu ETH 0.36 za zawadi ambazo huenda zilipelekwa kwingine. Idadi hiyo inaweza kubadilika kadiri uchambuzi unavyoendelea.
Hata hivyo, tukio hili linahitaji kufuatiliwa kwa karibu. Miundombinu ya crypto yenyewe imekuwa shabaha kuu kwa washambuliaji, na kuondoa kwa tahadhari takriban nusu milioni ya ETH kutoka kwa validators, ikiwa makadirio huru yatathibitishwa, si operesheni ndogo.
Kwa MetaMask, taarifa muhimu inayofuata itakuwa post-mortem: ni sehemu gani ya miundombinu iliyoathirika, ni funguo au ruhusa zipi zilizoweza kufikiwa, na zawadi zilizobainika ziliwezaje kupelekwa kwenye anwani nyingine?
Kwa sasa, jambo moja linaweza kutenganishwa na kelele: MetaMask inakabiliwa kweli na tukio kubwa la usalama katika miundombinu yake ya staking, lakini hakuna kuingiliwa kwa wallets za watumiaji au withdrawal keys kulikothibitishwa.
