Metamask tạm ngừng hoạt động của các nhà xác thực khi vụ trộm ETH với số tiền nhỏ lại gây ra cảnh báo nghiêm trọng

Số tiền bị mất dưới 1.000 USD, nửa triệu ETH đang được rút ra

Theo một nhà nghiên cứu bảo mật, có vẻ như ai đó đã đánh cắp khoảng 0,36 ETH từ các khoản tiền boa khối Ethereum của các trình xác thực do Metamask vận hành, số tiền này trị giá dưới 1.000 USD với tỷ giá khoảng 2.700 USD/ether. Phản ứng từ phía Metamask lại lớn hơn nhiều. Metamask đã chủ động ngừng hoạt động các validator bị ảnh hưởng từ ngày 30/9 trong khi các nhà điều tra cố gắng xác định mức độ xâm nhập của kẻ tấn công.

Nhà nghiên cứu Kaden ước tính rằng khoảng 17.000 trình xác thực, tổng cộng nắm giữ khoảng 523.000 ETH, đã bị loại khỏi hệ thống. Metamask chưa xác nhận những con số này, nhưng Lido đã xác nhận rằng các validator do Metamask Staking vận hành đang bị loại bỏ khỏi giao thức của họ. Đó là điều đáng chú ý. Số tiền bị đánh cắp rõ ràng chỉ là một khoản tiền lẻ so với tiêu chuẩn của các vụ hack tiền điện tử, trong khi động thái phòng thủ lại liên quan đến hàng trăm nghìn ether.

Kẻ trộm dường như đã tìm thấy hũ tiền boa

Metamask đã công bố vụ việc vào lúc 7:38 tối theo giờ miền Đông ngày 30 tháng 9, cho biết họ đang ứng phó với một sự cố ảnh hưởng đến một phần cơ sở hạ tầng của mình và đã xác định “không có mối đe dọa trực tiếp nào đối với các ví Metamask.” Vào ngày 1 tháng 10, công ty cho biết vẫn “không có dấu hiệu nào cho thấy ví Metamask hoặc tiền của khách hàng đã bị ảnh hưởng”. Cơ chế staking giúp giải thích lý do tại sao.

Các validator Ethereum thường đặt cọc 32 ETH, nhưng Metamask cho biết hoạt động staking của họ là phi lưu ký và họ không kiểm soát các khóa rút tiền của khách hàng. Chính những khóa này mới cho phép rút số ETH đã đặt cọc. Do đó, một kẻ tấn công có thể can thiệp vào cài đặt của trình xác thực cũng sẽ không tự động nắm giữ các khóa truy cập vào kho tiền. Phân tích chuỗi khối của Kaden thay vào đó chỉ ra vấn đề nằm ở “hộp tip”.

Anh báo cáo rằng 19 trình xác thực Metamask đã nhận được phần thưởng khối và các khoản thanh toán, nhưng 18 trong số đó đã được chuyển đến địa chỉ người nhận phí sai. Địa chỉ này đã được nạp tiền thông qua dịch vụ trộn ether Tornado Cash, và tổng số tiền thanh toán bị chuyển nhầm lên tới khoảng 0,36 ETH. Một phân tích khác đã truy vết hoạt động này diễn ra trong khoảng bốn giờ rưỡi vào ngày 30 tháng 9. Đó là một khoản lợi nhuận nhỏ, nhưng lại đi kèm với một hồi chuông cảnh báo rất lớn.

Tại sao Metamask lại liều lĩnh trong việc rút lui của các trình xác thực

Việc thay đổi người nhận phí có thể chuyển hướng tiền thưởng khối của người xác thực mà không cần di chuyển số tiền đặt cọc 32 ETH của họ. Vấn đề bắt đầu nảy sinh nếu kẻ tấn công có được thứ gì đó mạnh mẽ hơn, chẳng hạn như khóa ký của người xác thực.

Những khóa này không thể đơn giản rút số tiền đặt cọc, nhưng chúng có thể khiến các validator theo cơ chế Proof-of-Stake (PoS) vi phạm các quy định và bị xử phạt theo hệ thống slashing của Ethereum. Việc cắt giảm sẽ tiêu hủy một phần số ETH đặt cọc của validator và loại bỏ validator đó khỏi hệ thống. Kaden cho biết ba validator bị khai thác vẫn chưa rút khỏi hệ thống khi ông đăng tải phân tích của mình, và ước tính khoảng 821 validator có khả năng bị ảnh hưởng vẫn đang hoạt động.

Trong một phân tích khác, công ty cơ sở hạ tầng dữ liệu blockchain Bitquery đã thống kê riêng 16.965 validator nắm giữ 565.056 ETH đã rời khỏi hoặc gia nhập hàng đợi tính đến ngày 1/10. Các con số này có sự khác biệt nhất định so với số liệu của Kaden vì các nhà nghiên cứu đã đo lường các tập dữ liệu khác nhau vào các thời điểm khác nhau. Cả hai con số này đều chưa được Metamask xác nhận công khai.

Bitquery cũng ước tính rằng việc cắt giảm đồng thời khoảng 17.000 validator có thể đã đốt cháy khoảng 22.000 ETH. Trong mô phỏng của họ, không có validator nào bị trừ phần thưởng. Khả năng này giúp giải thích lý do tại sao nền tảng ví tiền điện tử Metamask lại triển khai một chiến dịch phòng thủ quy mô lớn hơn nhiều so với mức độ mà vụ trộm dường như đòi hỏi.

Việc Rút vốn trong Một Tuần Có Thể Trở Thành Thời Gian Chờ Đợi 45 Ngày

Lido, nhà cung cấp hạ tầng staking thanh khoản, dự kiến các validator bị ảnh hưởng mà họ sử dụng sẽ hoàn tất việc rút vốn vào cuối ngày 7/10. Tuy nhiên, việc lấy lại ETH để tiếp tục kiếm lợi nhuận lại là một vấn đề khác. Các validator phải hoàn tất quy trình rút khỏi mạng Ethereum, thực hiện việc rút tiền và cuối cùng phải tham gia lại thông qua hàng đợi nhập. Lido ước tính toàn bộ quá trình này có thể mất tới khoảng 45 ngày. Trong khoảng thời gian đó, số ETH đã rút khỏi mạng sẽ không nhận được phần thưởng validator.

Hàng đợi này vốn đã rất đông đúc. Dữ liệu về hàng đợi validator từ beaconcha.in cho thấy có khoảng 393.795 ETH đang chờ rời khỏi tập hợp validator của Ethereum, với thời gian ước tính là bốn ngày và sáu giờ để hoàn tất việc rời khỏi hàng đợi trước khi phải đối mặt với một đợt trì hoãn rút tiền khác. Lido cho biết chủ sở hữu stETH không cần phải thực hiện bất kỳ hành động nào, trong khi Metamask cũng thông báo điều tương tự cho người dùng ví và cảnh báo họ không được tiết lộ cụm từ khôi phục cho bất kỳ ai tự xưng là cung cấp dịch vụ bảo vệ.

Hiện tại, sổ cái đang hiển thị một bức tranh kỳ lạ: khoảng 0,36 ETH dường như đã bị đánh cắp, hàng trăm nghìn ETH đang được chuyển hướng về phía các lối ra, và có thể mất hàng tuần thời gian kiếm thu nhập. Kẻ trộm có thể đã chạm đến “hộp tiền boa”, nhưng Metamask vẫn chưa tiết lộ chính xác kẻ xâm nhập đã tiến gần đến “két sắt” đến mức nào.