MetaMask İhlali: 0,385 Ethereum (ETH) Doğrulayıcı Ödülü Aktarıldı

0,385 ETH Değiştirilen Ödül Adresiyle Aktarıldı

MetaMask'in kendi altyapısında tutulan bir ödül adresi, ödemeleri gitmesi gereken yere yapmaktan çıktı ve bunun sonucunda yaklaşık 0,385 Ethereum (ETH) tutarında staking ödülü harici bir adrese aktarıldı. Şirketin resmi olay bültenine göre, bir saldırgan 28 Eylül'de altyapısının bir bölümüne izinsiz erişim sağladı ve bazı doğrulayıcılarının ödül alıcısını değiştirdi. Doğrulayıcılar, blockchain ağında işlemleri onaylayan ve karşılığında ödül kazanan katılımcılar. Şirket, değiştirilen adresi olay günü fark ettiğini ve derhal düzelttiğini, Perşembe günü yayımlanan resmi açıklamasında belirtiyor.

Mekanizma protokolün kendisinde değil, saklama katmanında yatıyordu. Bazı doğrulayıcıların ödül alım adresi, merkezi olarak yönetilen bir altyapıda tutuluyordu; bu sisteme ulaşan biri, tek bir kullanıcı cüzdanına dokunmadan ödemeleri başka yöne çevirebiliyordu. Aktarılan 0,385 ETH, yürütme katmanından gelen ödül geliridir; doğrulayıcıların aktif kaldığı sürece sürekli topladığı ödemelerdir ve her müşteri pozisyonunun arkasındaki stake edilmiş ana sermayeden ayrıdır. MetaMask'in staking hizmeti, doğrulayıcıları müşteriler adına işletiyor; bu yüzden saklanan tek bir alanın değişmesi, aynı anda birden fazla pozisyonda geliri boşaltabiliyordu. Aynı gün yapılan düzeltme, ödemelerin yanlış alıcıya gönderilebileceği pencereyi kapattı.

MetaMask, Perşembe günü yayımladığı güncellemede etkilenen her doğrulayıcı için çıkış sürecinin artık tamamlandığını doğruluyor. Bir doğrulayıcıyı çıkarmak, doğrulama görevini ve ödül akışını sonlandırır; şirketin yönlendirme ortaya çıktığında aldığı bir sınırlama adımıydı. Daha önceki zincir üstü bir tahmin, belirli olmayan bir adrese yönlendirilen transferi yaklaşık 0,36 Ethereum (ETH) olarak göstermişti; MetaMask'in 0,385 ETH rakamı aynı olayın kendi muhasebesidir ve bu tahminin üzerine eklenen ek bir kayıp değildir. Açıklama, Ethereum (ETH) fiyatının son 24 saatte yüzde 7,9 gerilediği bir dönemde geldi; canlı piyasa izlememiz bunu doğruluyor.

Ana Sermaye ve Anahtarlara Dokunulmadı

MetaMask'in soruşturması, müşterilerin staking ana sermayesinin ya da çekilme anahtarlarının ele geçirildiğine dair bir kanıt bulamadı. Güncelleme, cüzdan ürününün kendisi hakkında da aynı derecede net: cüzdanın ya da altyapısının ihlal edildiğine dair hiçbir belirti yok ve kullanıcıların gizli kurtarma ifadeleri ile özel anahtarları bu olayda açığa çıkmadı. Saldırganın ulaştığı şey ödül borulamasıydı, kasa değil.

Öte yandan çıkış, prosedürel bir adımdır, ödeme değil. Doğrulayıcının ağa katılımını ve ödül akışını sona erdirir, ama kendisi tek başına müşteri varlıklarını serbest bırakmaz; bunlar ardından Ethereum'un ayrı bir çekilme sürecinden geçer. Bir doğrulayıcının çıkışı tamamlandığında bakiyesi, ağın kendi takvimi üzerinde çekilebilir hale gelir; gecikme, çıkışın bitmesi ile varlıkların müşteriye fiilen ulaşması arasındaki bu boşlukta yatar. Bu boşluk, müşteri tarafında ana belirtiyi üretti: bazı müşteriler, doğrulayıcıları çıkış sürecinden geçerken geçici çekilme gecikmeleriyle karşılaştı. MetaMask ayrıca, bazı müşterilerin doğrulayıcılar çıkışta beklerken ya da yeniden etkinleştirilmeyi beklerken ödül kaçırmış olabileceğini kabul ediyor. Güncelleme bu kaçırılan ödül tutarına bir rakam vermiyor ve bu tutar, hizmetten dışarı yönlendirilen 0,385 ETH'den ayrıdır. Bu ayrım ölçek için önemli: 0,385 Ethereum (ETH) giden ödül geliri, nicelenmeyen tutar ise geciken gelirdir, alınan değil.

Şirket, düzenli cüzdan kullanıcılarına herhangi bir işlem yapmaları gerekmediğini bildirdi. Staking anlaşmaları olaydan etkilenen müşteriler ise MetaMask'in ya da staking sağlayıcısının doğrudan ilettiği rehbere yönlendiriliyor. MetaMask, izinsiz erişimi engellediğini, etkilenen sistemleri güvence altına aldığını ve kalan etkileri müşterilerle ve iş ortaklarıyla birlikte çalışmaya devam ettiğini söylüyor. Cüzdanın düzenli kullanıcıları ise bu grubun tamamen dışında; şirket, cüzdanlara dokunulduğuna dair hiçbir bulgu görmediğini raporluyor.

Taşıyıcı gerçek, MetaMask'in ödül adreslerinin nerede tutulduğuna dair kendi anlatısında yatıyor: bir ödeme işaretçisi, saldırganın erişebildiği merkezi bir altyapıda yaşıyordu; yani bu, Ethereum'un protokolünde ya da cüzdanın anahtar yönetiminde değil, saklama tasarımındaki bir zaafiyetti. Gerçekleşen 0,385 ETH'lik hırsızlık küçük kaldı ve çıkışlar maruziyeti sınırladı. Ancak iki başlık açık: güncelleme, doğrulayıcılar çıkışta beklerken müşterilerin kaçırabileceği ödülleri nicelendirmiyor ve adreslerin nerede saklandığını anlatırken izinsiz erişimin nasıl sağlandığını açıklamıyor. Her iki yanıt gelene kadar 0,385 ETH, alınanı ölçer; olayın tam maliyetini değil.