Incidente de segurança na MetaMask força saídas do staking de Ethereum, sem fundos em risco

MetaMask está retirando os sistemas de staking de Ethereum do serviço após um incidente de segurança, com a Lido alertando sobre recompensas perdidas e um pesquisador de segurança reportando que pagamentos provenientes da produção de blocos foram desviados para outra carteira.

O provedor de carteiras de criptomoedas, que também opera serviços de staking, divulgado na quarta-feira que o incidente afetou parte de sua infraestrutura, acrescentando que saiu dos validadores afetados — ou os computadores que ajudam a verificar as transações do Ethereum — como medida de precaução.

“Neste momento, não identificamos nenhuma ameaça imediata às carteiras MetaMask,” afirmou a empresa.

Pesquisador de segurança da Ethereum Kaden disse no X que 18 dos 19 validadores operados pela MetaMask que haviam recebido pagamentos por produzir blocos enviaram esses pagamentos para um endereço inesperado. Ele estimou que cerca de 0,36 ETH foram desviados.

A análise de Kaden indicou que as saídas precaucionais envolvem aproximadamente 17.000 validadores detendo cerca de 523.000 ETH. A MetaMask não confirmou esses números nem publicou uma explicação sobre como seus sistemas foram comprometidos até o período da tarde da Ásia na quinta-feira.

O staking permite que os detentores ganhem ETH ao comprometer suas moedas para ajudar a garantir a segurança do Ethereum. Operadores como a MetaMask gerenciam os computadores que realizam o trabalho, enquanto os clientes mantêm controle separado sobre onde suas moedas em staking podem ser retiradas.

Um validador também possui um endereço para receber pagamentos de taxas de transação ao produzir um bloco. Alterar esse destino pode desviar a renda sem modificar para onde a participação original é direcionada quando retirada. A Ethereum define esses destinos separadamente.

Alguém que controle essas credenciais poderia fazer com que um validador aprovasse registros conflitantes, desencadeando uma penalidade chamada slashing, na qual o Ethereum destrói parte de sua participação e a remove de serviço. Nem a MetaMask nem a Lido relataram que isso tenha ocorrido.

Renda perdida enquanto validadores saem

O encerramento preventivo acarreta um custo mesmo que as moedas em staking permaneçam seguras.

Lido, um serviço que agrupa o ETH dos usuários para staking, disse na manhã de quarta-feira que os validadores operados pela MetaMask haviam começado a deixar seu sistema. Espera-se que os últimos deixem de fazer staking até 7 de outubro, embora seu ETH não tenha necessariamente sido retirado até essa data.

Retirar as moedas e reinseri-las no staking pode levar cerca de 45 dias devido à fila para entrar no sistema de staking do Ethereum. Os validadores afetados perderiam recompensas enquanto estiverem fora de serviço e poderiam incorrer em penalidades caso sejam desconectados antes de concluírem suas saídas.

“Nenhuma ação é necessária por parte dos detentores de stETH,” afirmou a Lido. Seu token stETH representa a participação agrupada dos usuários e as recompensas acumuladas.

Leia Mais: MetaMask adiciona ‘staking agrupado’ para validação de Ethereum mais barata

Grandes movimentações de carteiras também chamaram atenção em meio às divulgações. O rastreador de blockchain Lookonchain relatado que uma carteira vinculada ao cofundador do Ethereum, Joseph Lubin, transferiu 133.298 ETH, no valor aproximado de US$ 356 milhões, para um novo endereço. Não ficou imediatamente claro se a movimentação estava relacionada à resposta da MetaMask.

A Ethena, empresa por trás do token USDe atrelado ao dólar, também retirou fundos da plataforma de empréstimos de criptomoedas Morpho em meio às divulgações de segurança. Os movimentos reportados incluíram cerca de US$ 75 milhões de um cofre que detém o stablecoin RLUSD da Ripple e US$ 60 milhões de outro que detém o PYUSD do PayPal.

Uma fonte próxima à Ethena afirmou que as retiradas foram por precaução. A Ethena reimplantou os fundos após obter esclarecimentos sobre a situação, mostram os dados onchain.