MetaMask质押基础设施遭入侵,0.385枚Ethereum(ETH)奖励被转走

0.385枚ETH经被篡改的奖励地址流出

MetaMask自建基础设施中的一个奖励地址停止向应有对象付款,约0.385枚Ethereum (ETH)的质押奖励因此流入一个外部地址。MetaMask称,攻击者于9月28日获得了其部分基础设施的未授权访问权限,并更改了部分验证者的奖励接收方。这些验证者是Ethereum网络权益证明机制中负责确认交易并赚取奖励的参与节点。官方事件更新于星期四发布,其中说明公司在事发当天即发现了被篡改的地址,并立即予以纠正。

问题出在存储环节,而非协议本身。部分验证者的奖励接收地址保存在集中管理的基础设施中,能够进入该系统的一方无需触碰任何用户钱包,就能改变奖励的去向。被转走的0.385枚ETH属于执行层奖励收入,即验证者在活跃期间持续获得的那部分收益,与每个客户质押仓位背后的本金是两回事。MetaMask的质押服务替客户运行验证者,正因如此,改动一个存储字段就能同时抽走多个仓位的收入。当天的纠正关闭了奖励被发往错误接收方的时间窗口。

MetaMask在星期四发布的更新中确认,所有受影响验证者的退出流程现已完成。退出验证者会终止其验证职责和奖励流,是公司在发现转向问题后采取的遏制措施。此前链上数据曾估计被 redirect 的转账约为0.36枚ETH,流入一个身份不明的地址;MetaMask给出的0.385枚ETH是该公司对同一事件的自身核算,并非在上述估计之外的额外损失。披露发布之际,COINOTAG实时市场监测显示,Ethereum价格在过去24小时内下跌7.9%。

本金与私钥未受波及

MetaMask的调查未发现任何证据表明客户质押本金或提取密钥遭到攻破。更新对钱包产品本身同样言明:没有任何迹象显示钱包或其基础设施被入侵,用户的助记词和私钥在此事件中未被泄露。攻击者接触到的是奖励发放的管道,而非存放资产的保险库。

需要说明的是,退出只是一个流程步骤,并不等于付款。退出会终结验证者的参与资格和奖励流,但本身并不释放客户资金,资金需此后走以太坊网络单独的提取流程。验证者完成退出后,其余额按网络自身的节奏变为可提取状态,因此延迟正好卡在退出完成与资金真正到账之间。这一空档带来了客户端最主要的症状:部分客户在验证者完成退出的过程中遭遇了临时性的提款延迟。MetaMask同时承认,在验证者处于退出状态或等待重新激活期间,部分客户可能错过了一些奖励。更新未给出这部分错失奖励的金额,它也不同于被转出服务的0.385枚Ethereum (ETH)。这一区分关系到事件规模的判断:0.385枚ETH是已经离开的奖励收入,而未量化的部分只是延迟到账的收入,并非被窃取。

MetaMask已告知普通钱包用户,无需采取任何操作。质押协议受到该事件影响的客户,请直接查阅MetaMask或其质押服务商提供的指引。MetaMask表示已阻断未授权访问、加固了受影响的系统,并正与客户及合作方一道处理剩余影响。钱包本身的普通用户完全不在此列,因为公司报告没有任何迹象表明钱包受到了波及。

这件事的关键在于MetaMask自己交代的信息:奖励地址这一付款指针存放在攻击者能够触及的中心化基础设施里,因此这是一次存储设计上的失守,而非以太坊协议或钱包密钥管理的缺陷。实际被窃走的0.385枚ETH数额不大,退出操作也控制住了暴露面。但有两个问题仍悬而未决。更新既未量化验证者退出期间客户可能错失的奖励,也没有说明未授权访问是如何获得的。在这两个答案揭晓之前,0.385枚ETH只衡量了被拿走的部分,而不是这次事件的全部代价。