MetaMask, Güvenlik Olayı Nedeniyle 3 Milyar Doları Aşan Ethereum (ETH) Validatorlarını Devre Dışı Bırakıyor

MetaMask: Cüzdanlara Acil Bir Tehdit Yok

MetaMask, güvenlik sorununun ne olduğunu açıklamadı; ancak cüzdan sağlayıcısı, etkilenen Ethereum (ETH) staking validatorlarını ihtiyati tedbir olarak hizmet dışına çıkardığını doğruladı. Consensys destekli şirket, Çarşamba günü yayımladığı güncellemede süregiden tehdit olarak nitelediği olayı şirket içinde ele aldığını, dış ortaklar ve güvenlik danışmanlarıyla çalışmaya başladığını duyurdu. Ne açığı ne de etkilenen sistemleri isimlendirdi; yalnızca MetaMask markalı cüzdanlarda acil bir tehdit bulmadığını bildirdi. Şirketin mesajında Ethereum fiyatı yer almadı; adım, kullanıcı fonlarına ilişkin bir olaydan çok altyapı güvenliği hamlesi olarak çerçevelendi. Ölçek küçümsenmeyecek boyutta: MetaMask, stake edilmiş Ether varlıklarını 3 milyar doların üzerinde konumlandırıyor; bu rakam kendi sitesinde yayımlanmış bir veri ve firmayı, emanet vermeden Ethereum stake etmek isteyen kullanıcılar için en büyük geçitlerden biri yapıyor. İhtiyati çıkışlar validatorları kapsıyor: Ethereum'un hisse kanıtlı modelinde kanıt (attestation) ve blok önerme görevlerini yürüten operatörler söz konusu, bu tasarım Ethereum 2.0 yükseltmesi ile benimsenmişti. Bu validatorlar MetaMask'ın emanetsiz (non-custodial) staking operasyonlarının içinde yer alıyor; süreç sürerken kullanıcılar özel anahtarlarını ellerinde tutuyor ve mevduatlar, operatörün kontrolündeki bir sıcak cüzdan yerine akıllı sözleşmelerde duruyor. Bu da ele geçirilmiş bir sunucunun bile ulaşabileceği alanı daraltıyor. Ethereum'da staking pasif bir bakiye değil; operatör hataları ya da ihlalleri en azından etkilenen küme üzerinden gelen herkes için çekimleri geciktirebiliyor. Bu yüzden validator çıkışı, altyapısından şüphelenen bir operatörün elindeki savunma hamlesi; bu olayla bağlantılı olarak zorunlu bir ceza duyurulmadı. Şirket X'teki kamuya açık bildiriminde olay müdahalesini doğruladı ama teknik ayrıntı vermedi; o günden bu yana etkilenen bileşeni adlandıran ya da herhangi bir ihlali tanımlayan bir açıklama yapmadı.

Lido Üzerinden 45 Günlük Geri Dönüş Döngüsü

Ethereum (ETH) üzerine kurulu en büyük likit staking protokolü Lido, MetaMask Staking'in işlettiği validatorlara bağlı müşteri varlıklarını korumak için ihtiyati adımlara başladığını, aynı gün Lido protokolünden çıkışların da buna dahil olduğunu ayrıca doğruladı. Bu teyit, doğrudan MetaMask'ın kendi iletişiminden değil, etkilenen meblağı elinde tutan protokolden geldiği için önemli. MetaMask Staking, kullanıcılara MetaMask Portfolio üzerinden üç biçimde ulaşıyor: havuzlanmış staking, adanmış validator staking ve Lido ile Rocket Pool üzerinden sunulan likit staking. Havuzlanmış staking küçük mevduatları ortak validatorlarda topluyor, adanmış validator staking kendi birimini çalıştıran kullanıcılara hizmet veriyor, likit staking ise yatırılan meblağ karşılığında elden çıkarılabilir bir makbuz düzeniyor. Etkilenen son validatorun çıkışının 7 Ekim sonuna kadar tamamlanması bekleniyor; bu, operasyonel temizlik için bir dış sınır koyuyor. Zaman çizelgesini belirleyen şey Ethereum'un çıkış mekanikleri. Lido Finance geliştiricisi Will Shannon'a göre, çıkış yapan validatorlardan serbest kalan Ethereum (ETH), her validator çıkış, çekim ve yeniden giriş dizisini tamamladıkça kademeli olarak protokole geri akmalı. Shannon bu dizinin yaklaşık 45 gün sürebileceğini söyledi; gecikmenin nedeni herhangi bir varlık sorunu değil, Ethereum'un uzatılmış giriş kuyruğu. Kuyruk, protokolün validator aktivasyonuna uyguladığı bir hız sınırlayıcı. Çekimlerde genelde önemsiz, ama burada anlamlı: Lido protokolüne dönen her bakiye aktivasyon kontrollerinden yeniden geçmek zorunda ve bu, süreci standart çekim penceresinin çok ötesine taşıyor. Likit staking yolunu kullananlar için pratik etki, ani bir iade yerine kademeli bir geri dönüş; çıkış yapan validatorlara bağlı tokenlar döngü boyunca hesaplanmaya devam ediyor. Ne MetaMask ne de Lido, müşteri varlıklarında bir eksik bildirmedi.

Henüz Doğrulanmayanlar

Olayın gerçekte ne yaptığı yönünde yeni ayrıntılar ortaya çıktı. Ethereum güvenlik araştırmacısı Kaden, X'te block üretim ödülü kazanmış 19 MetaMask validatorundan 18'inin bu ödüllerin beklenmedik bir adrese gönderdiğini, tahminen 0,36 ETH ödülün saptığını bildirdi. Analizine göre ihtiyati çıkışlar yaklaşık 17.000 validator ve bunlarda bulunan 523.000 ETH'ye denk geliyor; MetaMask bu rakamları doğrulamadı. Tartışma konusu mekanizma, fee recipient (ücret alıcısı) adresi: Ethereum, bunu çekim kimlik bilgilerinden ayrı izliyor; bu hedefi değiştirmek, stake edilen coinlerin nereye döneceğine dokunmadan geliri saptırıyor. Kaden, etkilenen kimlik bilgilerini elinde tutan kişinin bir validatoru çelişkili kanıtlara itip slashing tetikleyebileceğini de not etti; ancak ne MetaMask ne de Lido bunun gerçekleştiğini bildirdi. Şirket, sistemlerinin nasıl ele geçirildiğini hâlâ açıklamadı.

Lido, stETH sahiplerine doğrudan seslendi: çıkış süreci boyunca hiçbir işlem yapmaları gerekmiyor. Protokol, çekilen ETH yeniden stakinge akarken olası aksaklıkları karşılamak üzere 6.750 stETH'den fazla tutan bir rezerv havuzunun hazırda beklediğini duyurdu. MetaMask ise kullanıcılarından fon hareketi ya da ayar değişikliği yapmamalarını istedi ve soruşturma ilerledikçe ayrıntı paylaşacağını bildirdi. Güvenlik gözlemcileri, bu tür olaylarda dolandırıcıların sahte uyarılarla hareket ettiği uyarısında bulunuyor: kurtarma ifadesini (recovery phrase) paylaşmaya yönlendiren mesajlar yok sayılmalı, çünkü tek bir phishing imzası bir cüzdanı boşaltmaya yeter. Olay, şirketin güvenliğine dair süren soruların da gölgesinde gelişiyor: Temmuz'da Consensys, MetaMask'ın koduna katkı yapmış gizli bir Kuzey Koreli geliştiriciyi açığa çıkarmıştı.

MetaMask'ın resmi güvenlik bildiriminden gelen bir güncelleme zaman çizelgesini netleştiriyor: şirket, altyapısının bir bölümünü etkileyen süregiden olayı 30 Eylül 2026'da tespit ettiğini, 1 Ekim itibarıyla dış ortaklar ve güvenlik danışmanlarıyla çalışırken etkilenen Ethereum validatorlarını emanetsiz staking operasyonlarından ihtiyati olarak çıkarmaya başladığını söyledi. Bildirim, MetaMask cüzdanlarında acil bir tehdit saptanmadığını yineledi. Stake edenler için şirketin açıklamasındaki çarpıcı yapısal nokta şu: kurulum emanetsiz olduğu için MetaMask, müşteriler adına stake edilen varlıkların çekim anahtarlarını elinde tutmuyor; bu da bir altyapı ihlalinin ulaşabileceği alanı sınırlıyor. Şirket, çıkışların maliyet tarafını da işaret etti: Hizmet dışına alınan validatorlar bazı staking ödüllerini kaçırabilir ve çıkış döngüsü boyunca devre dışı kaldıkları sürece inaktivite cezaları biriktirebilir.

Tam bir validator çıkışının neden anahtar değişimi yerine tercih edildiği de MetaMask'ın kendi dokümantasyonundan geliyor: validator imza anahtarları, aynı validator kimliği korunarak değiştirilemiyor. Bir imza anahtarının kopyalanma ihtimali elenemediğinde temiz yol tek: validatoru çıkarmak, ETH'nin çekilebilir hale gelmesini beklemek, altyapıyı sıfırdan kurmak, yeni anahtarlar üretmek ve sonra yeniden staking yapmak. Etkilenen validatorlar aynı bulut hesaplarını, dağıtım hatlarını ve uzaktan imza servislerini paylaştığından MetaMask, hangi anahtarların güvenli olduğunu henüz belirleyemiyor. 1 Ekim itibarıyla beaconcha.in verileri, stakinge girmek için yaklaşık 1,578 milyon ETH'nin tahmini 27,4 günlük bir kuyrukta beklediğini, çıkış için ise 576.000 ETH'nin yaklaşık 10 günlük süre beklediğini gösteriyor; yani çıkış yapan validatorlardaki ETH, yeniden girişten önce resmî çekim için kabaca 11 gün daha bekleyecek. Yazının 45 günlük tam döngü rakamı bu tablonun içinde okunmalı. ETH yaklaşık 2.685 dolar seviyesinde seyrederken stETH'nin temelden sapması (depeg) yönünde herhangi bir işaret görünmedi.

(08:20 UTC itibarıyla) COINOTAG değerlendirmesi: Buradaki belirleyici belge MetaMask'ın kendi güncellemesi ve manşetlerin sunduğundan fazlasını doğrulamıyor. Doğrulanan şey, düzenli ve ihtiyati nitelikte bir validator çıkışı ile dış güvenlik danışmanlarının devreye girmesi. Doğrulanmayan şey ise olayın niteliği, herhangi bir sistemin fiilen ihlal edilip edilmediği ve kullanıcı ya da protokol varlıklarının hiç risk altında olup olmadığı; Lido dahil hiçbir taraf zarar meydana geldiği iddiasında bulunmadı. Şirket savunduğu vektörü adlandırmadıkça, masadaki tek ölçülebilir gerçekler 3 milyar dolarlık staking hacmi ve 45 günlük geri dönüş penceresi olmaya devam ediyor.