MetaMask تبدأ إخراج مُدقّقي التخزين من الخدمة بعد واقعة أمنية بالبنية التحتية

أفاد موقع CoinDesk أن MetaMask شرعت، عقب إعلانها في 30 سبتمبر عن حادثة أمنية طالت جزءًا من بنيتها التحتية، في بدء إجراءات إخراج مُدقّقي شبكة إيثريوم المتأثرين ضمن خدمة التخزين (Staking) الخاصة بها. وتتوقع Lido أن تُستكمل دفعة المُدقّقين المتأثرين الأخيرة مرحلة الخروج بحلول 7 أكتوبر، رهناً بظروف الشبكة. وقالت MetaMask إن الشركة تتعامل مع حادثة مستمرة تؤثر في جزء من البنية التحتية، وإنها تعمل مع شركاء خارجيين ومستشارين أمنيين لمعالجتها. وأكدت أنها لم ترصد "تهديداً فورياً لمحافظ MetaMask"، من دون تقديم تفاصيل تقنية عن الأنظمة المتأثرة. وكتدبير احترازي، بدأت الشركة إجراءات إخراج المُدقّقين المتأثرين من خدمة التخزين غير الحاضنة. وشددت MetaMask على أنها لا تحتفظ بمفاتيح سحب العملاء، ما يعني أن مُشغّلي المُدقّقين لا يتحكمون بالمفاتيح المستخدمة لسحب الأموال الأساسية. وحتى الإفصاح العام الصادر في 1 أكتوبر، لم تُذكر طريقة الهجوم أو عدد المُدقّقين المتأثرين أو كمية ETH المعنية، كما لم يتضح ما إذا كان قد تم الوصول إلى أي بيانات. وأفادت الشركة بأنها ستواصل مراقبة التطورات وتقديم تحديثات مع تقدم التحقيق. ويميز بيان MetaMask بين البنية التحتية المتأثرة ومنتج المحفظة. وأقرت بحدوث واقعة أمنية، لكنها قالت إنها لم تسجل اختراقاً لمحافظ MetaMask ولم تفصح عن أي خسائر تخص مستخدمي المحفظة، واقتصر تصريحها على عدم وجود تهديد فوري للمحافظ وقت التحديث. وترتبط الخدمة المتأثرة بـ MetaMask Staking التي كانت تُعرف سابقاً باسم Consensys Staking. وفي وقت سابق من سبتمبر، أعلنت Consensys Software Inc. أنها تخطط للعمل تحت علامة MetaMask التجارية، مع فصل أعمال البروتوكولات والبنية التحتية المؤسسية ضمن شركة Consensys جديدة التأسيس، على أن يُتوقع إنجاز هذا الفصل بحلول نهاية 2026. وتعتمد خدمة تخزين المُدقّقين لدى MetaMask نموذجاً غير حاضن. ووفق مواد الدعم، يحتفظ المستخدمون بالتحكم في التخزين والمكافآت، بينما تتولى البنية التحتية للتخزين تشغيل المُدقّقين. وفي التخزين المباشر للمُدقّقين، يبقى ETH مقفلاً في نظام تخزين إيثريوم إلى أن يبدأ المستخدم السحب. وكانت crypto.news قد أشارت سابقاً إلى أن الخدمة بدأت ببنية تحتية للمُدقّقين تديرها Consensys. ولم يحدد إشعار MetaMask الأخير ما إذا كانت كل عمليات التخزين لديها متأثرة، أو أي مكوّنات بعينها من البنية التحتية طالها الحادث. وبعد إفصاح MetaMask، قدمت Lido تحديثاً تشغيلياً أكثر تفصيلاً. وقال ممثل لـ Lido في إفصاح أمني بمنتدى الحوكمة بتاريخ 30 سبتمبر إن MetaMask Staking اتخذت إجراءً احترازياً عقب "اختراق للبنية التحتية"، وإن مُدقّقين تُشغّلهم MetaMask Staking داخل بروتوكول Lido بدأوا مرحلة الخروج. وتتوقع Lido أن تُنهي الدفعة الأخيرة من المُدقّقين المتأثرين مرحلة الخروج بحلول نهاية 7 أكتوبر، مع احتمال ألا تكون عمليات السحب قد اكتملت بالكامل بحلول ذلك الوقت. وتتضمن عمليات سحب مُدقّقي إيثريوم مراحل متعددة. وأوضحت Lido أن تدفقات ETH الخارجة من المُدقّقين الذين تُشغّلهم MetaMask ستعود تدريجياً إلى البروتوكول مع إتمام كل مُدقّق لمراحل الخروج والسحب ثم العودة لاحقاً. وبسبب طول قائمة انتظار دخول المُدقّقين في إيثريوم، قد تستغرق العملية بأكملها نحو 45 يوماً تقريباً. وأكدت Lido لمستخدمي stETH أن "حاملي stETH لا يحتاجون إلى اتخاذ أي إجراء". وأشارت إلى أن عملية الخروج قد تؤدي إلى فقدان مكافآت التخزين، وأن المُدقّقين قد يتعرضون لعقوبات توقف إذا خرجوا عن الخدمة قبل اكتمال الخروج. وأوضحت أن إيقاف المُدقّقين قبل استكمال الخروج الرسمي قد يقلص بعض مخاطر التعرض، لكنه قد يعرّض المُدقّقين لعقوبات إيثريوم. ولم تُشر Lido إلى حدوث "slashing" لهؤلاء المُدقّقين. وأضافت Lido أن هيكلها اللامركزي لمشغلي العُقد، إلى جانب صندوق احتياطي مؤقت يحتفظ بأكثر من 6,750 stETH، صُمم لامتصاص الاضطرابات التشغيلية. ويضم نموذج التخزين لديها حالياً أكثر من 600 مشغّل. وفي يوليو، أطلقت Lido ترقية "Validator Infrastructure Upgrade, Curated Module v2"، التي تتيح دعماً لأرصدة مُدقّقين فعّالة أعلى وتقدم آليات جديدة لمساءلة المشغلين و"slashing". ويركز نموذج التخزين غير الحاضن على بقاء مفتاح السحب بيد العميل. وتؤكد MetaMask الفصل بين تشغيل المُدقّق والتحكم بالأصول المرتبطة به: خدمة التخزين مسؤولة عن توقيع مهام المُدقّق وصيانة البنية التحتية، لكنها لا تدير مفاتيح سحب العملاء. وتصف وثائق MetaMask تخزين المُدقّقين بأنه ذاتي الحفظ؛ إذ يودع المستخدمون ETH في عقد إيداع Beacon الخاص بإيثريوم ويحتفظون بالتحكم بعملية السحب، بينما تتولى بنية MetaMask تشغيل العُقد. وتطبق Lido بدورها فصلاً مشابهاً للمهام. ووفق وثائقها التقنية، يحدد البروتوكول بيانات اعتماد السحب، بينما ينشئ المشغلون مفاتيح التوقيع المستخدمة لأداء مهام المُدقّق. وتحدد بيانات اعتماد السحب الوجهة التي سيُرسل إليها ETH عند السحب. ولم تُشر MetaMask إلى ما إذا كان قد تم الوصول إلى مفاتيح توقيع المُدقّقين أثناء الحادث، كما لم تفصح عن أدلة على "slashing" أو سرقة أموال تخزين العملاء أو سحوبات غير مصرح بها. وذكرت Lido أن مخاطر عقوبات التوقف والعقوبات الشبكية المحتملة تعكس طبيعة الاستجابة الوقائية وليست خسائر مؤكدة. وفي سياق متصل، قالت Aave إن أسواقها عملت بشكل طبيعي أثناء التحقيق. وذكر مؤسس Aave، ستاني كوليتشوف، في تحديث 1 أكتوبر أنه يراقب تطورات حدث MetaMask Staking وما يرتبط بـ Lido بعد ظهور رسائل خروج المُدقّقين للعلن، مؤكداً أن أسواق Aave لم تتأثر وأن وظائف البروتوكول تعمل بصورة اعتيادية، من دون تقارير موثوقة عن اضطرابات مرتبطة بالحادث. وتكتسب هذه الإشارة أهمية لأن stETH وأصول تخزين إيثريوم الأخرى تُستخدم على نطاق واسع في التمويل اللامركزي، بما في ذلك أسواق الإقراض. وحتى 1 أكتوبر، لم تحدد MetaMask جدولاً زمنياً لانتهاء التحقيق الأمني. وتُظهر إرشادات Lido أن الدفعة الأخيرة من مُدقّقي MetaMask المتأثرين يُتوقع أن تصل إلى حالة "exited" بحلول نهاية 7 أكتوبر، لتستمر بعدها عمليات السحب ثم إعادة الدخول، مع امتداد العملية بالكامل إلى نحو 45 يوماً. وأكدت MetaMask أنها تواصل جهود المعالجة بالتعاون مع مستشارين أمنيين خارجيين، وأنها على تواصل مع العملاء والشركاء، على أن تصدر تحديثات إضافية في الوقت المناسب، بينما أشارت Lido إلى أن تحقيقها "الشامل" لا يزال جارياً.