MetaMask nimmt Ethereum-Staking nach Sicherheitsvorfall offline
MetaMask hat betroffene Validatoren nach einem Vorfall in der Staking-Infrastruktur vorsorglich deaktiviert; laut dem Unternehmen sind Wallets nicht direkt betroffen, wohl aber Belohnungen und Uptime.
Wichtigste Erkenntnisse
- MetaMask hat einen Teil seines Ethereum-Stakings nach einem Sicherheitsvorfall offline genommen und betroffene Validatoren vorsorglich deaktiviert.
- Ein Forscher meldete, dass 18 der 19 MetaMask-Validatoren Belohnungen an eine unerwartete Adresse geschickt hätten; MetaMask hat diese Zahlen nicht bestätigt.
- Laut der Meldung wurden vorsorglich rund 17.000 Validatoren mit zusammen etwa 523.000 ETH deaktiviert, während Lido sagte, dass stETH-Inhaber nichts tun müssen.
MetaMask hat einen Teil seines Ethereum-Staking-Systems nach einem Sicherheitsvorfall offline genommen. Laut dem Unternehmen sind MetaMask-Wallets nicht direkt betroffen, allerdings wurde ein Teil der Infrastruktur beeinträchtigt und die Validatoren wurden vorsorglich abgeschaltet.
Ein Ethereum-Sicherheitsforscher meldete, dass 18 der 19 MetaMask-Validatoren, die Belohnungen für das Erzeugen von Blöcken erhielten, diese Zahlungen an eine unerwartete Adresse geschickt hätten. Er schätzte, dass etwa 0,36 ETH umgeleitet worden seien. MetaMask hat diese Zahlen bislang nicht bestätigt und am Donnerstag noch nicht erklärt, wie die Systeme genau kompromittiert wurden.
Was genau schiefgelaufen ist
Staking bedeutet, dass Inhaber ETH hinterlegen, um das Ethereum-Netzwerk mit abzusichern. MetaMask betreibt dabei die Systeme, die die Arbeit übernehmen, während Kunden selbst die Kontrolle darüber behalten, wohin ihre gestakten Coins letztlich ausgezahlt werden können. Ein Validator hat außerdem eine separate Adresse für Belohnungen aus der Blockproduktion, und genau diese Empfangsadresse kann angepasst werden, ohne dass der ursprüngliche Stake selbst direkt verschoben wird.
Laut dem Forscher geht es um rund 17.000 Validatoren mit zusammen etwa 523.000 ETH, die vorsorglich deaktiviert wurden. MetaMask hat diese Zahlen nicht bestätigt. Das Unternehmen hat auch nicht gemeldet, dass es zu Slashing gekommen sei, also dazu, dass Ethereum einen Teil des Stakes vernichten kann, wenn ein Validator fehlerhaft handelt.
Folgen für Staking und Lido
Lido, das ETH für Staking bündelt, meldete, dass MetaMask-Validatoren bereits damit begonnen haben, das System zu verlassen. Die letzten sollen voraussichtlich am 7. Oktober mit dem Staking aufhören, auch wenn das nicht automatisch bedeutet, dass die ETH dann bereits abgezogen wurde. Wegen der Queue in Ethereum kann es bis zu etwa 45 Tage dauern, bis Validatoren wieder vollständig ein- und ausströmen.
Das macht den Schritt vor allem für die Erträge der betroffenen Validatoren relevant. Während der Zeit außer Betrieb entgehen ihnen Belohnungen, und es können auch kleine Strafen anfallen, wenn sie zu früh offline gehen. Lido sagte, dass stETH-Inhaber nichts unternehmen müssen.
Warum das breiter relevant ist
Der Fall zeigt, dass es beim Staking nicht nur um die Coins selbst geht, sondern auch um die Partei, die die Infrastruktur betreibt. Für europäische Krypto-Leser ist das relevant, weil immer mehr Nutzer Staking an große Anbieter auslagern, statt selbst einen Validator zu betreiben. Genau in so einem Modell kann ein Problem auf der operativen Ebene direkte Folgen für Belohnungen haben, ohne dass die zugrunde liegenden ETH zwangsläufig in Gefahr sein müssen.
Neben MetaMask sorgte auch eine große Wallet-Bewegung für Aufmerksamkeit. Blockchain-Tracker Lookonchain meldete, dass eine Wallet, die es mit Ethereum-Mitgründer Joseph Lubin in Verbindung brachte, 133.298 ETH im Wert von rund 356 Millionen Dollar (314 Millionen Euro) auf eine neue Adresse verschoben habe. Ob das mit der Reaktion von MetaMask zusammenhing, ist nicht klar. Auch Ethena zog vorsorglich Geld von der Kreditplattform Morpho ab und setzte die Mittel später erneut ein, nachdem mehr Klarheit herrschte.
