MetaMask сообщил в четверг об «инциденте в сфере безопасности, который всё ещё продолжается» и затрагивает часть инфраструктуры компании. Точная календарная дата этого сообщения не указана. Разработчик программного криптовалютного кошелька пока не раскрыл характер и причину происшествия, не назвал затронутые системы, число валидаторов и клиентов, а также не сообщил, удалось ли злоумышленнику получить доступ к инфраструктуре.
Расследование идёт внутри MetaMask при участии внешних партнёров и специалистов по безопасности. Компания заявила: «Мы активно работаем над устранением проблемы внутри компании, координируя действия с внешними партнёрами и консультантами по безопасности». В обсуждении защитных мер также участвуют клиенты, связанные со стейкинговыми операциями сервиса.
Непосредственной опасности для пользователей кошелька на данный момент не обнаружено. Формулировка MetaMask довольно осторожна: «На данный момент мы не выявили непосредственной угрозы для кошельков MetaMask». Сообщений о компрометации средств, пользовательских активов или данных доступа к кошелькам нет. Это, впрочем, не означает, что расследование закончено: инцидент по-прежнему имеет статус продолжающегося.
Главной предохранительной мерой стал вывод затронутых валидаторов Ethereum из активной работы. Валидаторы подтверждают транзакции и поддерживают сеть Ethereum, работающую на механизме proof-of-stake. MetaMask координирует их выход с клиентами и партнёрами, чтобы сократить возможные последствия инцидента и не допустить более серьёзных сетевых штрафов.
Стейкинговая схема MetaMask носит некастодиальный характер. Провайдер обслуживает валидаторы, но не распоряжается ключами вывода, необходимыми для получения заблокированных монет Ethereum (ETH). Компания пояснила: «Напоминаем, что наши стейкинговые операции имеют некастодиальный характер и мы не управляем от имени клиентов ключами вывода для размещённых в стейкинге активов». Поэтому MetaMask не может самостоятельно вывести клиентские ETH или перевести их на другой адрес.
На ситуацию отреагировал Lido, децентрализованный сервис ликвидного стейкинга Ethereum. По данным Lido, MetaMask принимает меры для защиты клиентских активов, связанных с обслуживаемыми компанией валидаторами. В частности, валидаторы Ethereum (ETH), которыми управляет MetaMask, выводятся из протокола Lido.
Такая осторожность имеет цену. После запуска выхода валидатор перестаёт приносить будущие вознаграждения за стейкинг, а преждевременное отключение до завершения процедуры может привести к штрафам за простой. Lido предупредил: «Эти меры включают вывод валидаторов Ethereum (ETH) из протокола Lido и, вероятно, повлекут потерю вознаграждений, а также возможные штрафы за простой, если валидаторы в ближайшее время будут отключены для снижения рисков, связанных с потенциальными сетевыми санкциями».
Затронутые валидаторы уже начали процедуру выхода. Последние из них, согласно плану, покинут активный набор Ethereum к концу 7 октября 2026 года. Lido уточнил: «Соответствующие валидаторы начали процесс выхода; ожидается, что последние валидаторы выйдут, но не будут полностью выведены, к концу 7 октября 2026 года». Здесь есть существенная техническая разница: выход прекращает обязанности по проверке блоков, тогда как полный вывод означает завершение очереди и получение доступа к связанным со стейкингом ETH.
Ни MetaMask, ни Lido пока не назвали масштаб операции и сумму задействованных активов. Неизвестно также, какая именно часть инфраструктуры оказалась затронута и был ли доступ к системам фактически захвачен. Устранение последствий продолжается, валидаторы выводятся в качестве меры предосторожности, а сведения могут меняться по мере расследования развивающейся ситуации.
Изображение носит иллюстративный характер
Расследование идёт внутри MetaMask при участии внешних партнёров и специалистов по безопасности. Компания заявила: «Мы активно работаем над устранением проблемы внутри компании, координируя действия с внешними партнёрами и консультантами по безопасности». В обсуждении защитных мер также участвуют клиенты, связанные со стейкинговыми операциями сервиса.
Непосредственной опасности для пользователей кошелька на данный момент не обнаружено. Формулировка MetaMask довольно осторожна: «На данный момент мы не выявили непосредственной угрозы для кошельков MetaMask». Сообщений о компрометации средств, пользовательских активов или данных доступа к кошелькам нет. Это, впрочем, не означает, что расследование закончено: инцидент по-прежнему имеет статус продолжающегося.
Главной предохранительной мерой стал вывод затронутых валидаторов Ethereum из активной работы. Валидаторы подтверждают транзакции и поддерживают сеть Ethereum, работающую на механизме proof-of-stake. MetaMask координирует их выход с клиентами и партнёрами, чтобы сократить возможные последствия инцидента и не допустить более серьёзных сетевых штрафов.
Стейкинговая схема MetaMask носит некастодиальный характер. Провайдер обслуживает валидаторы, но не распоряжается ключами вывода, необходимыми для получения заблокированных монет Ethereum (ETH). Компания пояснила: «Напоминаем, что наши стейкинговые операции имеют некастодиальный характер и мы не управляем от имени клиентов ключами вывода для размещённых в стейкинге активов». Поэтому MetaMask не может самостоятельно вывести клиентские ETH или перевести их на другой адрес.
На ситуацию отреагировал Lido, децентрализованный сервис ликвидного стейкинга Ethereum. По данным Lido, MetaMask принимает меры для защиты клиентских активов, связанных с обслуживаемыми компанией валидаторами. В частности, валидаторы Ethereum (ETH), которыми управляет MetaMask, выводятся из протокола Lido.
Такая осторожность имеет цену. После запуска выхода валидатор перестаёт приносить будущие вознаграждения за стейкинг, а преждевременное отключение до завершения процедуры может привести к штрафам за простой. Lido предупредил: «Эти меры включают вывод валидаторов Ethereum (ETH) из протокола Lido и, вероятно, повлекут потерю вознаграждений, а также возможные штрафы за простой, если валидаторы в ближайшее время будут отключены для снижения рисков, связанных с потенциальными сетевыми санкциями».
Затронутые валидаторы уже начали процедуру выхода. Последние из них, согласно плану, покинут активный набор Ethereum к концу 7 октября 2026 года. Lido уточнил: «Соответствующие валидаторы начали процесс выхода; ожидается, что последние валидаторы выйдут, но не будут полностью выведены, к концу 7 октября 2026 года». Здесь есть существенная техническая разница: выход прекращает обязанности по проверке блоков, тогда как полный вывод означает завершение очереди и получение доступа к связанным со стейкингом ETH.
Ни MetaMask, ни Lido пока не назвали масштаб операции и сумму задействованных активов. Неизвестно также, какая именно часть инфраструктуры оказалась затронута и был ли доступ к системам фактически захвачен. Устранение последствий продолжается, валидаторы выводятся в качестве меры предосторожности, а сведения могут меняться по мере расследования развивающейся ситуации.
