Metamask retire ses validateurs alors qu'un vol d'ETH dérisoire sonne l'alarme

Les validateurs Ethereum déposent généralement 32 $ETH, mais Metamask affirme que son opération de staking est non-custodiale et qu'il ne contrôle pas les clés de retrait des clients. Ces clés sont ce qui permet de retirer la mise sous-jacente. Un attaquant capable de manipuler les paramètres du validateur ne détiendrait donc pas automatiquement les clés du coffre-fort. La reconstruction onchain de Kaden pointe plutôt vers la boîte à pourboires.

Il a rapporté que 19 validateurs Metamask ont remporté des récompenses de bloc et des paiements, mais 18 sont allés à la mauvaise adresse de destinataire des frais. L'adresse avait été financée via le service de mixage d'ether Tornado Cash, et les paiements détournés totalisaient environ 0.36 $ETH. Une autre reconstruction a tracé l'activité sur environ quatre heures et demie le 30 sept. C'est un maigre butin suivi d'une très grosse sonnette d'alarme.

Pourquoi Metamask a tout misé sur les sorties de validateurs

Changer le destinataire des frais peut détourner les pourboires de bloc d'un validateur sans déplacer sa mise de 32 $ETH. Les ennuis commencent si un attaquant obtient quelque chose de plus puissant, comme les clés de signature du validateur.