MetaMask meldet einen laufenden Sicherheitsvorfall in Teilen seiner Infrastruktur und nimmt vorsorglich die Ethereum-Validatoren seines Staking-Dienstes vom Netz, auch die im Lido-Protokoll. Was genau betroffen ist, sagt das Unternehmen nicht; eine unmittelbare Gefahr für MetaMask-Wallets hat es nach eigenen Angaben nicht festgestellt.
Für Halter von stETH, dem Staking-Token von Lido, ist nach Angaben der Lido-Beitragenden nichts zu tun. Die letzten Validatoren sollen bis Ende 7. Oktober ausgeschieden sein. Das Ether aus ihnen kehrt nach Schätzung von Lido erst innerhalb von bis zu 45 Tagen wieder ins Protokoll zurück.
MetaMask meldet den Vorfall am Mittwoch in vier Sätzen
Die Mitteilung erschien am 30. September auf der Website von MetaMask, dem Unternehmen hinter der gleichnamigen Wallet, früher Consensys Software. “We are currently responding to an ongoing security incident affecting part of our infrastructure”, heißt es dort, man reagiere also auf einen andauernden Vorfall in einem Teil der Infrastruktur. Man arbeite mit externen Partnern und Sicherheitsberatern daran und habe “no immediate threat to MetaMask wallets” festgestellt. Vorsorglich würden betroffene Validatoren im nicht-verwahrenden Staking-Geschäft abgezogen.
Wann der Vorfall entdeckt wurde, wie Angreifer hineinkamen und ob Schlüssel betroffen sind, steht in der Mitteilung nicht.
Validatoren sind die Rechner, die Ethereum-Blöcke vorschlagen und bestätigen; wer Ether einsetzt, erhält dafür Belohnungen. MetaMask betont, die Entnahmeschlüssel für das eingesetzte Ether der Kunden nicht zu verwalten. Das Geld selbst kann der Betreiber also nicht abziehen, wohl aber die Validatoren falsch betreiben, wenn deren Signierschlüssel in fremde Hände geraten. Dafür sieht Ethereum Strafen vor, das sogenannte Slashing.
Lido rechnet mit bis zu 45 Tagen bis zur Rückkehr des Ethers
Um 1:40 Uhr MESZ in der Nacht zum Donnerstag folgte die Mitteilung im Forum von Lido. MetaMask Staking habe nach der Untersuchung einer “infrastructure compromise” begonnen, seine Validatoren im Protokoll außer der Reihe zu beenden; dabei dürften Belohnungen entfallen und, falls Validatoren vorzeitig abgeschaltet werden, Strafen für die Ausfallzeit anfallen. Die Rückkehr des Ethers über Austritt, Auszahlung und erneuten Eintritt dauere wegen der langen Warteschlange am Eingang bis zu 45 Tage.
Wie viel Ether das ist, nennen weder MetaMask noch Lido. Im öffentlichen Schlüsselverzeichnis von Lido stehen unter dem Betreiber Consensys am Donnerstagmorgen 7.204 Validatoren, die noch nicht als ausgeschieden gemeldet sind, 2,6 Prozent aller Lido-Validatoren. Bei 32 Ether je Validator wären das rund 230.500 Ether oder 625 Millionen US-Dollar. Nach Angaben von Cointelegraph betreut MetaMask insgesamt mehr als drei Milliarden Dollar an eingesetztem Ether.
Für Schäden hält Lido einen Reservefonds von mehr als 6.750 stETH vor. Am Markt blieb es ruhig: stETH notierte am Donnerstagmorgen nach CoinGecko bei 2.715 US-Dollar und damit praktisch gleichauf mit Ether, der Governance-Token LDO verlor 4,8 Prozent.
Kunden des Staking-Dienstes müssen auf Erträge verzichten
Wer stETH hält, merkt von dem Abzug zunächst wenig, weil Lido das Ether auf viele andere Betreiber verteilt. Anders liegt es bei Kunden, die ihr Ether direkt über MetaMask Staking eingesetzt haben: Ihre Validatoren laufen aus, Belohnungen bleiben bis zum Wiedereintritt aus. Wer die Wallet nur zum Aufbewahren und Senden nutzt, ist nach Darstellung von MetaMask nicht betroffen.
Bei den Morpho-Tresoren des Verwalters Sentora flossen nach Berichten von The Defiant und Crypto Briefing nach der Mitteilung kräftig Mittel ab, ohne dass eine technische Verbindung zum Vorfall belegt ist.
Wie sich Staking-Angebote der Handelsplätze unterscheiden, zeigt etwa unser Bericht darüber, warum Ethereum-Staking beliebt bleibt. Eine Übersicht früherer Fälle bietet unsere Chronik großer Sicherheitsverletzungen.
Eine vollständige Untersuchung läuft, weitere Angaben haben MetaMask und Lido angekündigt, ohne Termin.
Wer Ether lieber als börsengehandeltes Produkt im Wertpapierdepot hält statt selbst zu staken, findet Krypto-ETPs unter anderem bei Scalable Capital. Welche Anbieter Ether direkt führen, steht in unserem Krypto-Börsen Vergleich.
