گزارش امنیتی MetaMask: نفوذ به زیرساخت‌های استیکینگ و سرقت پاداش‌ها
MetaMask says recent attack didn't affect wallet infrastructure
شرکت Consensys، توسعه‌دهنده کیف پول MetaMask، اعلام کرد که در پی یک حادثه امنیتی، مهاجمان موفق به دسترسی به سیستم‌های ذخیره‌سازی آدرس‌های گیرنده و سرقت بخشی از پاداش‌های لایه اجرایی استیکینگ شده‌اند. این شرکت تأکید کرده است که دارایی‌های اصلی کاربران و کلیدهای خصوصی آن‌ها در این حمله آسیب ندیده‌اند.
جزئیات فنی و ماهیت حمله
در تاریخ ۳۰ سپتامبر، MetaMask از شناسایی یک حادثه امنیتی در زیرساخت‌های خود خبر داد. مهاجمان با نفوذ به سیستم‌هایی که مسئول ذخیره‌سازی آدرس‌های گیرنده بودند، موفق شدند بخشی از پاداش‌های استیکینگ (Staking Rewards) را منحرف کنند. در واکنش به این نفوذ، MetaMask بلافاصله اعتبارسنج‌های (Validators) تحت تأثیر در عملیات استیکینگ غیرامانی خود را از شبکه خارج کرد.
طبق گزارش رسمی، مجموع پاداش‌های سرقت شده حدود 0.385 ETH برآورد شده است. MetaMask تأکید دارد که این پاداش‌ها از اصل سرمایه استیک شده کاربران جدا بوده و هیچ شواهدی مبنی بر دسترسی مهاجمان به کلیدهای برداشت یا سرمایه اصلی کاربران وجود ندارد.
پیامدهای عملیاتی و وضعیت کاربران
این حادثه منجر به تأخیرهای موقت در برداشت دارایی‌ها برای برخی مشتریان شد که ناشی از اقدامات پیشگیرانه برای خروج اعتبارسنج‌ها از شبکه بود. همچنین، فرآیند خروج و انتظار برای فعال‌سازی مجدد اعتبارسنج‌ها ممکن است باعث از دست رفتن برخی پاداش‌های استیکینگ در آن بازه زمانی شده باشد.
MetaMask اعلام کرده است که در حال همکاری مستقیم با مشتریان و شرکای آسیب‌دیده برای جبران خسارت پاداش‌های از دست رفته است. همچنین تأکید شده که عبارت بازیابی (Secret Recovery Phrase) و کلیدهای خصوصی کاربران در این حمله کاملاً ایمن باقی مانده‌اند.
نکته‌های کلیدی
- عدم نفوذ به کیف پول‌های شخصی کاربران و کلیدهای خصوصی.
- سرقت حدود 0.385 ETH از پاداش‌های لایه اجرایی استیکینگ.
- تأیید امنیت کامل اصل سرمایه استیک شده کاربران.
- خروج پیشگیرانه اعتبارسنج‌ها از شبکه برای مهار نفوذ.
- تعهد MetaMask به جبران خسارت پاداش‌های از دست رفته مشتریان.
چه باید کرد
- کاربران عادی کیف پول MetaMask نیازی به انجام هیچ اقدام امنیتی خاصی ندارند.
- مشتریانی که در سرویس‌های استیکینگ مشارکت داشته‌اند، باید دستورالعمل‌های ارسالی مستقیم از سوی MetaMask یا ارائه‌دهنده خدمات استیکینگ خود را دنبال کنند.