MetaMask met des milliers de validateurs Ethereum hors ligne après un incident de sécurité

MetaMask a retiré par précaution des milliers de validateurs du réseau Ethereum après un incident de sécurité. Selon le chercheur en sécurité Kaden, environ 17 000 validateurs sont concernés, auxquels sont associés plus d’un demi-million d’ethers (ETH).

À ce stade, rien n’indique que ces ETH puissent être volés. Le chercheur a toutefois découvert que les récompenses de plusieurs validateurs avaient été envoyées vers une adresse de portefeuille inconnue.

Des récompenses Ethereum envoyées vers un portefeuille inconnu

Kaden a repéré des activités suspectes chez des validateurs gérés par MetaMask. Sur les dix-neuf validateurs examinés qui avaient perçu des revenus pour la production de blocs, dix-huit ont envoyé ces paiements vers une adresse inattendue.

Environ 0,36 ETH aurait ainsi été détourné. On ignore encore comment l’adresse de destination de ces paiements a pu être modifiée.

Selon Kaden, MetaMask fait donc sortir par précaution environ 17 000 validateurs du réseau Ethereum. Quelque 523 000 ETH seraient associés à ces validateurs. MetaMask n’a pas encore confirmé ces deux chiffres.

L’entreprise confirme toutefois qu’une partie de son infrastructure a été touchée par un incident de sécurité. Selon elle, aucune menace directe n’a été identifiée pour les utilisateurs des portefeuilles MetaMask classiques.

Les 523 000 ETH peuvent-ils être volés ?

L’ampleur du montant peut inquiéter, mais un attaquant ne peut pas pour autant accéder aux ETH mis en jeu.

Le staking consiste à immobiliser des ETH pour sécuriser le réseau Ethereum. Les récompenses peuvent être envoyées vers une adresse différente de celle qui recevra les fonds initialement déposés lors de leur retrait.

Un attaquant capable de modifier la destination des récompenses n’a donc pas nécessairement accès aux ETH mis en jeu. MetaMask affirme par ailleurs ne pas détenir les clés permettant aux clients de retirer leurs ETH placés en staking.

Un risque de pénalité, appelé « slashing », subsiste toutefois si les validateurs touchés enfreignent les règles du réseau. Une partie des ETH mis en jeu peut alors être perdue. À ce stade, aucun cas de ce type n’a été signalé pour les validateurs concernés.

Les validateurs MetaMask pourraient perdre plusieurs semaines de récompenses

Le retrait des validateurs peut néanmoins avoir des conséquences financières. Lido confirme que des validateurs de MetaMask Staking ont commencé à quitter son protocole.

Les ETH libérés devront ensuite être à nouveau placés en staking. Selon Lido, les files d’attente sur Ethereum pourraient porter la durée de ce processus à environ 45 jours. Des récompenses de staking pourraient être perdues pendant cette période.

Selon Lido, rien ne change pour les détenteurs de Lido Staked Ether (stETH). Ils n’ont aucune démarche à effectuer.

MetaMask poursuit son enquête pour déterminer l’origine de l’incident de sécurité. L’entreprise n’a toujours pas confirmé officiellement les chiffres avancés de 17 000 validateurs et 523 000 ETH.