Bir Kişinin Blok Ödüllerini Başka Yere Yönlendirmesinin Ardından MetaMask, Lido’daki Doğrulayıcılarını Geri Çekti

MetaMask Staking, altyapısından gelen blok ödüllerinin Tornado Cash aracılığıyla finanse edilen bir adrese yönlendirilmesinin ardından Ethereum doğrulayıcılarını Lido’dan çekiyor. Gerçekte aktarılan miktar çok az: yaklaşık 0,36 ETH, yani 1.000 doların altında. Ancak önlem olarak Lido’dan çekilen miktar o kadar az değil. Bir araştırmacı, bu tutarı yaklaşık 523.000 ETH, yani 1,4 milyar dolar olarak hesaplıyor.

Aklım sürekli bu orana takılıyor. Bir aylık kahve masrafıyla kapatılabilecek bir sızıntı varken, 1,4 milyar dolarlık bir stake, Ethereum’daki en büyük likit staking protokolünden çekiliyor. Bu durum, MetaMask’ın saldırganın ne kadarını ele geçirebileceği konusunda ne kadar az tahminde bulunmak istediğini gösteriyor.

MetaMask ve Lido’nun açıklamaları

30 Eylül’de MetaMask, X üzerinden altyapısının bir kısmını etkileyen bir güvenlik olayına müdahale ettiğini duyurdu. MetaMask cüzdanlarına yönelik acil bir tehdit tespit etmediklerini ve saklama hizmeti sunmayan staking operasyonları kapsamında etkilenen doğrulayıcılardan çıktıklarını belirtti. Ardından metamask.io’da bir kullanıcı güncellemesi yayınlandı.

Lido, X'te ve bir yönetişim forumu açıklamasında bu çıkışları doğruladı ve bunun nedenini, soruşturma aşamasında olan bir altyapı ihlali olarak nitelendirdi. MetaMask Staking, Lido bünyesindeki bir düğüm operatörü olan eski Consensys Staking'dir. Etkilenen son doğrulayıcıların, 7 Ekim sonuna kadar tamamen çekilmese de çıkma işlemini tamamlamaları bekleniyordu.

ETH'yi geri almak ise zaman alan kısımdır. Lido, çıkış yapılan stake'lerin protokole kademeli olarak geri döndüğünü ve Ethereum'un uzun giriş kuyruğu nedeniyle tam çıkış, para çekme ve yeniden giriş döngüsünün 45 güne kadar sürebileceğini belirtti. Ayrıca, çıkış işlemleri tamamlanmadan çevrimdışı kalan validatörler için kaybedilen ödüller ve olası kesinti cezaları konusunda uyarıda bulundu.

Her iki şirket de MetaMask’ın müşteri stake’leri için para çekme anahtarlarını elinde bulundurmadığını vurguladı. Lido, stETH sahiplerine hiçbir şey yapmamalarını söyledi ve yaygın düğüm operatör ağına ve 6.750 stETH’den fazla rezerv fonuna işaret etti.

Zincirde görünenler

Hırsızlık olayına ilişkin tek kamuya açık rakamlar bağımsız bir araştırmacıdan geliyor. Kaden, X platformunda 19 MetaMask doğrulayıcısının blok ödülleri kazandığını ve bu ödemelerin 18’inin doğru ücret alıcısı yerine Tornado tarafından finanse edilen bir adrese gittiğini belirtti. Ne MetaMask ne de Lido bu bilgiyi doğrulamadı.

Burada ücret alıcısı önemlidir. Bu, bir doğrulayıcının önerdiği bloklardan öncelikli ücretleri ve MEV'yi almak üzere belirlediği adrestir. 19 ödemeden 18'inin başka bir yere gitmesi için, birinin bu ayarı değiştirebilmesi gerekiyordu; bu da cüzdan tarafındaki herhangi bir şeyden ziyade doğrulayıcı yapılandırmasına işaret ediyor. Bu yorum bana ait, MetaMask'a değil. Şirket, neyin tehlikeye atıldığını açıklamadı.

Kaden’in kendi uyarılarını dikkate almakta fayda var. Saldırganın tüm doğrulayıcı grubu genelinde ücret alıcılarını değiştirip değiştiremeyeceğinin belirsiz olduğunu ve saldırganların stake edilmiş ETH’yi çekme “olasılığının hiç olmadığını” belirtti. Ancak imza erişiminin nasıl elde edildiğine bağlı olarak, doğrulayıcıların prensipte kasıtlı olarak cezalandırılmış olabileceğini belirtti. Bu kadar geniş çaplı çıkışların gerçek nedeni muhtemelen budur.

Rakamlar tam olarak tutarsız. Kaden'in tahminine göre yaklaşık 17.000 doğrulayıcı ve 523.000 ETH söz konusuydu; potansiyel olarak etkilenen 821 doğrulayıcının ise henüz ayrılmamış olması gerekiyordu. AMBCrypto, Kaden'e atıfta bulunarak toplam rakamı 513.000 ETH civarında belirledi. İncelediği Validator Queue verileri, aynı dönemde yaklaşık 10.500 validatörün ve 336.000 ETH'nin ayrıldığını gösterdi; ancak bu, piyasa genelini kapsayan bir rakamdır ve tamamı MetaMask'a ait değildir. AMBCrypto’ya göre, çıkış kuyruğundaki miktar iki gün içinde yaklaşık 205.000 ETH’den 850.000 ETH’nin üzerine çıktı.

Şu ana kadar sınırlı kalan domino etkisi

Aave kurucusu Stani Kulechov, kredi protokolünün Lido ile birlikte durumu izlediğini ve stETH'in yoğun olarak kullanılan bir teminat varlığı olduğu piyasalarında herhangi bir etki görmediklerini söyledi. Ethena'dan Guy Young, USDe'yi destekleyen varlıkların stETH veya diğer likit staking token'larına doğrudan maruz kalmadığını belirtti. ETH ise bu karışıklık süresince 2.800 doların altında kaldı.

Consensys tarafından geliştirilen L2 ağı Linea, 2 Ekim'de Yield Boost kasasını destekleyen doğrulayıcıların da sistemden çıkarıldığını, ancak kasadaki fonların ve kontrolün etkilenmediğini açıkladı.

Lubin'in açıklaması: cüzdanlar güvende, ayrıntılar henüz açıklanmadı

Consensys'in kurucusu Joseph Lubin, 2 Ekim'de X'te yaptığı paylaşımda, şu ana kadar yapılan soruşturmaya göre MetaMask cüzdanlarının veya cüzdanlardaki müşteri fonlarının etkilendiğine dair herhangi bir gösterge bulunmadığını ve kullanıcıların kendi anahtarlarına sahip olduğunu belirtti. Eksik detaylar konusunda ise açık sözlüydü: "Halka açık bir olayın detaylarını kamuoyuyla paylaşmıyoruz."

Olay müdahale politikası olarak makul bir yaklaşım. Ancak bu durum, staking piyasasını tam da başladığı noktada bırakıyor: 523.000 ETH hareket halinde ve kamuya açık bir açıklama yok.

Kaçan ilk Lido operatörü değil

Kiln, CEO'sunun potansiyel bir altyapı ihlali uyarısında bulunmasının ardından Eylül 2025'te tüm Ethereum doğrulayıcılarını sistemden çıkardı. Crypto Briefing'e göre, MetaMask Staking'in eski adı olan Consensys Staking, 2023 yılında bir iletişim hatası sonucu yanlışlıkla 125 Lido doğrulayıcısını piyasadan çekmişti. Bu bir saldırı değil, bir hataydı; ancak tek bir operatörün ne kadar hızlı bir şekilde büyük miktarda stake'i hareket ettirebileceğini gösteriyor.

6 Ekim tarihli bir rapora göre, çıkış işlemleri neredeyse tamamlanmış durumda ve MetaMask Staking önümüzdeki haftalarda bir olay analizi yayınlayacak. MetaMask’ın kendi kanalları üzerinden bu bilgiyi doğrulayamadım, bu nedenle bunu doğrulanmamış bir bilgi olarak değerlendirin. Bir olay sonrası analiz raporu yayınlanana kadar, bu olayla ilgili tek kesin rakam 0,36 ETH’dir ve tam olarak neyin ihlal edildiği hâlâ bir muamma.