MetaMask schaltet 17,000 Ethereum-Validatoren nach einem Diebstahl in Höhe von „Kleingeld“ offline...
Ein Angreifer erbeutete etwa 0.36 ETH – im Wert von weniger als tausend Dollar – aus dem Ethereum-Staking-Netzwerk von MetaMask. Die Reaktion? MetaMask entfernte rund 17,000 Validatoren mit etwa 523,000 ETH, die zu aktuellen Kursen rund 1.4 Milliarden Dollar wert sind, aus dem Netzwerk. Das Verhältnis von entstandenem zu verhindertem Schaden ist, gelinde gesagt, alles andere als 1:1.
Der Vorfall begann am 30. September 2026, als MetaMask einen „laufenden Sicherheitsvorfall, der einen Teil unserer Infrastruktur betrifft“, bekannt gab. Das Unternehmen betonte umgehend, dass keine unmittelbare Bedrohung für MetaMask-Wallets festgestellt wurde. Das Problem beschränkte sich auf MetaMask Staking, den Validator-Dienst, der früher unter dem Namen Consensys Staking bekannt war und Ethereum-Validatoren für Lido, Coinbase und das eigene Staking-Pooling-Produkt betreibt.
Was tatsächlich gestohlen wurde
Die ehrliche Antwort lautet: nicht viel. Laut einer On-Chain-Analyse des Sicherheitsforschers 0xKaden und einer detaillierten Untersuchung von Bitquery änderte der Angreifer die Empfängeradresse für die Gebühren bei etwa 18 von 19 MetaMask-Validatoren, die am 30. September Blockbelohnungen erhalten hatten. Etwa viereinhalb Stunden lang, zwischen 12:12 und 16:46 UTC, wurden die Block-Tips – die zusätzlichen Gebühren, die Nutzer zahlen, damit Transaktionen in einen Block aufgenommen werden – an eine Wallet umgeleitet, die über Tornado Cash aufgeladen wurde.
Die Gesamtausbeute: 0.36 ETH. Umgerechnet etwa 950 US-Dollar. Die Wallet, die an diesem Morgen um 10:27 Uhr UTC 0.1 ETH von Tornado Cash erhalten hatte, war bis zum nächsten Tag unverändert. Es wurden keine Validator-Einsätze vorgenommen. Es fand kein Slashing statt. Der Angreifer konnte nicht auf die gestakten ETH selbst zugreifen, da die Auszahlungsdaten von den Clients und nicht von der Staking-Infrastruktur von MetaMask verwaltet werden.
Warum also diese massive Reaktion? Weil der Angreifer Zugriff auf die Maschinen hatte, die Blöcke signieren und Gebührenadressen festlegen. Das bedeutet, dass die Signaturschlüssel möglicherweise offengelegt wurden. Ein Signaturschlüssel kann nicht rotiert werden – die einzige Lösung ist, den Validator komplett zu verlassen und mit einem neuen Schlüssel von vorne zu beginnen. MetaMask begann bereits vor der ersten Meldung, Validatoren zu entfernen, was darauf hindeutet, dass sie frühzeitig etwas Verdächtiges bemerkten und sich für die radikalste Option entschieden.
Die Kettenreaktion
Die Ausstiege trafen die Staking-Warteschlange von Ethereum hart. Die Auszahlungswarteschlange schnellte innerhalb eines Tages von etwa 200,000 ETH auf über 700,000 ETH hoch, wodurch sich die Wartezeiten von dreieinhalb Tagen auf fast zwei Wochen verlängerten. Lido, dessen stETH-Token von Validatoren unterstützt wird, die MetaMask betreiben, informierte stETH-Inhaber, dass der letzte betroffene Validator bis zum 7. Oktober aussteigen würde. Der gesamte Zyklus – Ausstieg, Auszahlung, erneute Einzahlung mit neuen Schlüsseln und Wiedereintritt in die Aktivierungswarteschlange – könnte bis zu 45 Tage dauern, in denen die ETH keine Rendite erwirtschaften.
Für Lido-Staker liegt der eigentliche Schaden nicht in den gestohlenen Geldern, sondern im Zeitverlust. Etwa 0.19 ETH an Trinkgeldern aus elf von Lido gesetzten Blöcken gingen an den Eindringling, anstatt in Lidos Belohnungsspeicher zu fließen. Lidos Reserve von 6,750 stETH hätte im schlimmsten Fall einen Slashing-Vorfall für die eigenen Validatoren abgedeckt. Wären jedoch alle von MetaMask betriebenen Validatoren gleichzeitig betroffen gewesen – was nicht geschah –, wären etwa 22,000 ETH verloren gegangen, was Lidos Reserve überstiegen hätte. Das System entging einer weitaus größeren Katastrophe.
Ein beunruhigender Hintergrund
Dies geschieht nicht im luftleeren Raum. Bereits im Juli berichtete Drop Site News, dass Consensys – die Muttergesellschaft von MetaMask vor dem Rebranding – unwissentlich einen Softwareentwickler mit Verbindungen zu Nordkorea für etwa einen Monat als Berater engagiert hatte. Es gibt zwar keine Beweise, die diesen Vorfall mit dem Staking-Hack vom 30. September in Verbindung bringen, doch die Finanzierung durch Tornado Cash, das KuCoin-Routing und die stille Professionalität des Angriffs sollten jeden in der Staking-Infrastruktur beunruhigen.
Es ist auch nicht das erste Mal, dass ein Staking-Anbieter aufgrund eines vermuteten Sicherheitsverstoßes Validatoren abziehen musste. Kiln, ein konkurrierender Anbieter, trennte sich im vergangenen September nach einem Verlust von 41 Millionen US-Dollar bei seinen SOL-Staking-Operationen von allen aktiven Validatoren, wechselte die Signaturschlüssel aus und behandelte die zugehörige Infrastruktur als potenziell kompromittiert. Das Muster wird immer vertrauter: ein kleiner Sicherheitsverstoß, eine umfangreiche Vorsichtsmaßnahme und viele Fragen zur Speicherung der Schlüssel und zu den Zugriffsrechten.
MetaMask hat bisher nicht öffentlich erklärt, wie der Angreifer Zugriff erlangte, ob Signaturschlüssel tatsächlich kompromittiert wurden oder welche Infrastrukturkomponente konkret angegriffen wurde. Das Unternehmen gab an, mit externen Sicherheitspartnern zusammenzuarbeiten und hat keine weiteren Details veröffentlicht. Für die Tausenden von Stakern, deren ETH nun in der Warteschlange für die Exit-Operation festsitzt, ist diese Stille alles andere als beruhigend.
Die wichtigste Erkenntnis für alle, die ETH über einen Provider staken: Ihr Kapital ist wahrscheinlich sicher, solange der Provider die Auszahlungsschlüssel nicht kontrolliert. Doch Ihre Belohnungen, die Verfügbarkeit Ihrer Plattform und Ihre Geduld stehen auf dem Spiel, wenn etwas schiefgeht. Ein Diebstahl von 950 US-Dollar löste eine Abwanderung von Validatoren im Wert von 1.4 Milliarden US-Dollar und einen zweiwöchigen Auszahlungsstau aus. Die Zahlen sind absurd, aber die Logik ist schlüssig. Beim Staking ist ein kompromittierter Signaturschlüssel kein kleines Problem – er bedeutet, alles zu verwerfen und von vorne anzufangen.
---------------
Autor: Dorian Fenwick
Löschenicon Valley-Nachrichtenredaktion
Aktuelle Crypto News
