MetaMask съобщи, че е овладял инцидент със сигурността, при който нападател е получил достъп до системи за съхранение на адреси на получатели и е пренасочил част от наградите от стейкинг. Компанията уверява, че потребителските портфейли, частните ключове и заложените средства не са засегнати.
MetaMask, популярният криптопортфейл без попечителство, разработван от блокчейн компанията Consensys, потвърди, че скорошен инцидент със сигурността е засегнал част от инфраструктурата ѝ. Според компанията атаката не е компрометирала портфейлите на потребителите или инфраструктурата, която ги обслужва.
MetaMask позволява съхранение и управление на криптоактиви в Ethereum и съвместими блокчейн мрежи. На 30 септември компанията обяви, че разследва „текущ инцидент със сигурността на инфраструктурата“. Като предпазна мярка тя изведе от експлоатация засегнати валидатори, използвани при нейните услуги за стейкинг без попечителство.
Нападателят е получил достъп до системи за управление на адреси
В актуализация от 5 ноември MetaMask уточни, че атакуващият е получил достъп до системи, използвани за съхранение на адреси на получатели. Това позволило пренасочването на част от наградите от стейкинг, генерирани на ниво изпълнение на Ethereum.
Общата стойност на отклонените средства е приблизително 0,385 ETH. Компанията подчертава, че тези награди са отделни от основните средства, заложени от клиентите.
„Проблемът беше идентифициран и отстранен в същия ден“, заяви MetaMask.
Според компанията няма доказателства, че са компрометирани основните заложени средства на клиентите или ключовете за теглене. Засегнатите системи вече са защитени.
Потребителските портфейли и ключове не са засегнати
MetaMask заяви, че инцидентът не е довел до компрометиране на Secret Recovery Phrase – фразите за възстановяване на портфейлите – или на частните ключове на потребителите.
Компанията работи пряко със засегнатите клиенти, за да възстанови загубените награди. При част от тях обаче са възникнали временни забавяния при тегленето на средства вследствие на превантивното извеждане на валидаторите от експлоатация.
Процесът е довел и до пропуснати награди в периода, когато валидаторите са били извеждани или са очаквали повторно активиране. MetaMask заяви, че координира действията си със засегнатите клиенти и партньори, за да разреши всички оставащи последствия.
Не се изискват действия от обикновените потребители
Компанията посочва, че потребителите на MetaMask не трябва да предприемат действия във връзка с инцидента. Клиентите, чиито договорености за стейкинг са били засегнати, трябва да следват указанията, получени директно от MetaMask или от техния доставчик на стейкинг услуги.
Случаят подчертава, че дори при портфейли без попечителство, при които потребителят контролира собствените си ключове, допълнителните услуги и инфраструктурата на доставчика могат да бъдат отделна цел за нападателите.
Криптоинфраструктурата остава привлекателна цел
Инцидентът с MetaMask идва на фона на други атаки срещу доставчици на криптоуслуги. През октомври Ledger поиска от свои дистрибутори и търговци в Азия временно да спрат продажбите и да премахнат продукти от рафтовете, докато разследва случаи с хардуерни импланти.
По-скорошен случай е кражбата на криптоактиви на стойност 6,34 милиарда долара от Binance, за която компанията съобщи, че е свързана с компрометиране на инфраструктурата ѝ за управление на портфейли. Според разследването нападателите са подвели служител чрез фалшиво интервю за работа и са го накарали да инсталира зловреден софтуер.
Тези инциденти показват различни пътища към криптоактивите – от компрометиране на вътрешни системи и процеси до атаки по веригата на доставки и социално инженерство. За доставчиците на криптоуслуги защитата на ключовете остава критична, но също толкова важни са системите, които управляват адреси, операции и инфраструктурни услуги.
MetaMask уверява, че средствата на потребителите и техните ключове не са засегнати. Компанията обаче продължава да работи по възстановяването на отклонените награди и разрешаването на временните проблеми със стейкинг услугите.
