En angripare fick med sig ungefär 0.36 ETH – värda mindre än tusen dollar – från MetaMasks Ethereum-staking. Svaret? MetaMask ryckte ut ungefär 17 000 validerare som innehade cirka 523 000 ETH, värda cirka 1.4 miljarder dollar i nuvarande priser, från nätverket. Förhållandet mellan utförd skada och förhindrad skada är, milt uttryckt, inte 1:1.

Incidenten började den 30 september 2026, när MetaMask avslöjade vad de kallade "en pågående säkerhetsincident som påverkar en del av vår infrastruktur". Företaget var snabbt med att betona att de inte hade funnit något omedelbart hot mot MetaMask-plånböcker. Problemet var begränsat till MetaMask Staking, valideringsföretaget tidigare känt som Consensys Staking, som driver Ethereum-validerare för Lido, Coinbase och sin egen poolade staking-produkt.

Vad som egentligen stals

Inte mycket, är det ärliga svaret. Enligt en analys av säkerhetsforskaren 0xKaden i kedjan och en detaljerad undersökning av Bitquery ändrade angriparen avgiftsmottagaradressen på cirka 18 av 19 MetaMask-drivna validerare som hade tjänat blockbelöningar den 30 september. Under ungefär fyra och en halv timme, mellan 12:12 och 16:46 UTC, omdirigerades blocktips – de extra avgifter som användare betalar för att få transaktioner inkluderade i ett block – till en plånbok finansierad via Tornado Cash.

Total intäkt: 0.36 ETH. Cirka 950 dollar. Plånboken, som tog emot 0.1 ETH från Tornado Cash klockan 10:27 UTC den morgonen, hade inte rört sig nästa dag. Ingen valideringsinsats togs. Ingen slashing inträffade. Angriparen kunde inte nå den insatta ETH:n själv, eftersom uttagsuppgifterna kontrolleras av klienterna, inte av MetaMasks insatsinfrastruktur.

Så varför den massiva responsen? För att angriparen hade tillgång till maskinerna som signerar block och ställer in avgiftsadresser. Det betyder att signeringsnycklarna kan ha exponerats. En signeringsnyckel kan inte roteras – den enda lösningen är att avsluta valideringsverktyget helt och börja om med en ny nyckel. MetaMask började hämta valideringsverktyg innan det första tipset ens hade vidarebefordrats, vilket tyder på att de upptäckte något misstänkt tidigt och bestämde sig för att det nukleära alternativet var det säkra.

Kedjereaktionen

Utgångarna drabbade Ethereums stakingkö hårt. Uttagskön hoppade från cirka 200 000 ETH till över 700 000 ETH på en enda dag, vilket höjde väntetiderna från tre och en halv dag till nästan två veckor. Lido, vars stETH-token backas upp av validatorer som MetaMask driver, berättade för stETH-innehavare att den senast drabbade validatorn skulle avslutas senast den 7 oktober. Hela cykeln - avsluta, uttag, återinsättning med nya nycklar och återinträde i aktiveringskön - kan ta upp till 45 dagar, under vilka den ETH:n inte tjänar någonting.

För Lido-spelare är den verkliga kostnaden inte stulna pengar. Det är förlorad tid. Ungefär 0.19 ETH i tips från 11 Lido-block gick till inkräktaren istället för Lidos belöningsvalv. Lidos reserv på 6 750 stETH skulle ha täckt ett värsta tänkbara scenario för sina egna validerare. Men om alla MetaMask-körda validerare hade blivit skurna samtidigt – vilket inte hände – skulle cirka 22 000 ETH ha förbrukats, vilket översteg Lidos reserv. Systemet undvek en mycket större kula.

En oroande bakgrund

Detta sker inte i ett vakuum. I juli rapporterade Drop Site News att Consensys – MetaMasks moderbolag, innan de bytte namn – omedvetet hade anlitat en mjukvaruutvecklare med kopplingar till Nordkorea som konsult i ungefär en månad. Det finns inga bevis som kopplar den händelsen till staking-intrånget den 30 september. Men Tornado Cash-finansieringen, KuCoin-routingen och den tysta professionalismen i attacken är tillräckligt för att göra alla som är involverade i staking-infrastruktur lite nervösa.

Det är inte heller första gången en staking-leverantör har varit tvungen att dra tillbaka validerare på grund av en misstänkt komprometterad säkerhet. Kiln, en konkurrerande operatör, avslutade alla sina aktiva validerare i september förra året efter en förlust på 41 miljoner dollar i sin SOL-staking-verksamhet, roterande signeringsnycklar och behandling av relaterad infrastruktur som potentiellt komprometterad. Mönstret börjar bli bekant: ett litet intrång, en omfattande försiktighetsåtgärd och många frågor om hur nycklar lagras och vem som kan nå dem.

MetaMask har inte offentligt förklarat hur angriparen tog sig in, om signeringsnycklar faktiskt komprometterades eller vilken specifik infrastrukturkomponent som var målet. Företaget sa att de samarbetar med externa säkerhetspartners och har inte lämnat ytterligare detaljer. För de tusentals stakers vars ETH nu sitter i en utgångskö är tystnaden inte direkt lugnande.

Den viktigaste slutsatsen för alla som stakar ETH via en leverantör: din principal är förmodligen säker om leverantören inte kontrollerar uttagsnycklarna. Men dina belöningar, din drifttid och ditt tålamod står på spel när något går fel. En stöld på 950 dollar utlöste en valideringsflykt på 1.4 miljarder dollar och en två veckor lång flaskhals för uttag. Matematiken är absurd, men logiken är sund. Vid staking är en komprometterad signeringsnyckel inte ett litet problem - det är en anledning att bränna ner allt och börja om.

---------------

Författare: Dorian Fenwick
Silicon Valley Newsroom
De senaste kryptonyheterna

Förra veckan vi täckte nyheter om att det amerikanska finansdepartementet sanktionerat Ethereums kontroversiella transaktionsmixer, Tornado Cash, för att ha möjliggjort penningtvätt.

Detta var bara andra gången den amerikanska regeringen har vidtagit en sådan åtgärd mot en kryptoblandningsplats.

Men en djup analys av blockchain-transaktionsdata visar att plattformen mestadels användes för helt lagliga aktiviteter...

Faktum är att drygt 30 % av medlen som skickades till det protokollet användes för penningtvätt, åtminstone enligt ett blockchain-analysföretag. 

Slowmist, som inkluderade sina resultat i en rapport om blockkedjesäkerhet , fann att Tornado Cash under de första sex månaderna 2022 mottog totala insättningar på 955 277 ETH (värda 1.7 miljarder dollar i nuvarande priser), varav 300 160 ETH var relaterade till potentiell olaglig aktivitet.

Det betyder att det inte finns några (kända) juridiska problem med cirka 70 % av plattformens verksamhet.

Om du läser det amerikanska finansdepartementets pressmeddelande som tillkännager sanktionerna mot Tornado Cash, skulle du få intrycket att webbplatsen byggdes för, och endast användes för olagliga ändamål. De beskrev den som "en virtuell valutablandare som tvättar intäkterna från cyberbrott, inklusive de som begås mot offer i USA."

För ett visst perspektiv: Om det är sant, visar studien att Tornado Cash kan vara lika populär bland brottslingar som tryckt amerikansk valuta...

Om vi ​​går efter uppskattningarna från Harvard University professor i ekonomi Kenneth Rogoff - upp till 34% av tryckta pengar används för närvarande för att underlätta illegala transaktioner.

Men om jag skulle gissa vilken primär faktor som var i att den amerikanska regeringen beslutade att officiellt agera mot Tornado Cash, skulle det vara nyheten att nordkoreanska hackare, aka "Lazarus Group" också använde mixern för att tvätta krypto som de har erhållit genom olika, alltid olagliga metoder. 

-------
Författare: Mark Pippen
London News Desk 
De senaste kryptonyheterna

Genom att dela upp en användares insättning i ett slumpmässigt antal delar och distribuera dessa delar till andra användare, förvirrar en kryptovaluta "mixer" i huvudsak transaktionerna för individer som gör insättningar till dem. I utbyte får du samma summa tillbaka (minus avgifter) från andra anonyma användare.

Det blir svårt att spåra stulen kryptovaluta eftersom den snabbt kan byta ägare från en person till dussintals när den "blandas".

Tornado.Cash ansluter sig till Blender.io på listan över mixerwebbplatser som nu är förbjudna för amerikanska medborgare att få tillgång till efter att ha blivit sanktionerade av det amerikanska finansdepartementet idag.

Det amerikanska finansdepartementet uppskattar att sedan Tornados start 2019 har mer än 7 miljarder dollar i virtuell valuta tvättats på plattformen.

Det är dock 455 miljoner dollar från "Lazarus Gang", en hackergrupp som stöds av den nordkoreanska regeringen, som tjänstemännen tycker är mest upprörande.

Sanktionerna omfattade också 44 plånböcker, vilket gjorde det förbjudet att ta emot eller skicka pengar till någon av dessa adresser.

Tornado Cash ansträngde sig för att följa reglerna, men misslyckades till slut.

I försök att följa den amerikanska regeringen men fortfarande fungera för sina användare, implementerade Tornado Cash förbättringar som ett screeningverktyg för att stoppa pengar från att resa mellan den och bitcoin-plånböcker som tjänstemän säger är bundna till olaglig aktivitet.

Trots det kunde Lazarus Group och andra hackare fortfarande överföra pengar till Tornado Cash för penningtvätt, enligt en brottsbekämpande utredning av öppna kryptovalutatransaktioner, tillade tjänstemannen.

"Trots offentliga försäkringar om annat, har Tornado Cash upprepade gånger misslyckats med att införa effektiva kontroller utformade för att stoppa det från att tvätta pengar för illvilliga cyberaktörer på en regelbunden basis och utan grundläggande åtgärder för att hantera sina risker." Det sa Brian Nelsons underminister för finansministern för terrorism och finansiell intelligens i ett uttalande. "Treasury kommer att fortsätta att aggressivt driva åtgärder mot blandare som tvättar virtuell valuta för kriminella och de som hjälper dem."

Treasury-tjänstemän tillade att de hoppas att detta motiverar den privata sektorn och partnerländerna att hjälpa till att reglera illegal användning av krypto.

-------
Författare: Mark Pippen
London News Desk 
De senaste kryptonyheterna