MetaMask, pengembang dompet kripto terkemuka, secara proaktif memulai proses keluar bagi 17.000 validator Ethereum yang terdampak setelah sebuah insiden keamanan. Langkah tersebut mencakup lebih dari 523.000 ETH yang di-staking, dengan nilai sekitar US$1,4 miliar. Perusahaan menegaskan tidak ada ancaman langsung terhadap dompet MetaMask dan menekankan bahwa masalah hanya terbatas pada operasi staking non-kustodian mereka.
MetaMask Keluarkan 17.000 Validator Usai Insiden Keamanan
Dalam pernyataan resmi yang diunggah melalui akun X @MetaMask pada 30 September, perusahaan menyebut tengah merespons insiden keamanan yang memengaruhi sebagian infrastrukturnya. “Saat ini, kami tidak menemukan ancaman langsung terhadap dompet MetaMask. Sebagai tindakan pencegahan, kami secara proaktif mengeluarkan validator terdampak dalam operasi staking non-kustodian kami,” tulis MetaMask.
Hingga kini, perusahaan belum memberikan rincian lebih lanjut mengenai insiden tersebut. Meski demikian, pengumuman itu mendorong pihak lain untuk menyelidiki skala kebocoran yang terjadi.
Reward Validator Dialihkan ke Alamat Berbasis Tornado Cash
Peneliti keamanan dari Spearbit dan Cantina, 0xKaden, mempublikasikan analisisnya di X. Ia mencatat bahwa reward blok dari 18 validator MetaMask “tidak dibayarkan kepada penerima fee yang benar, melainkan ke akun yang didanai Tornado [Cash] ini.”
Alamat mencurigakan tersebut belum melakukan transaksi apa pun dan menyimpan 0,46 ETH, termasuk dana awal 0,1 ETH dari mixer kripto Tornado Cash. Alamat itu menerima 18 transfer ETH masuk berupa reward blok dari Titan Relay: Forwarder, dengan total nilai kurang dari US$1.000.
Dalam unggahannya pada 1 Oktober, 0xKaden menyebut 19 validator MetaMask memenangkan reward blok, dan 18 di antaranya tidak dibayarkan kepada penerima fee yang benar. Sementara itu, analis on-chain Emmett Gallic menemukan transfer besar 133.300 ETH dari dompet berlabel “Lubin/ConSensys” senilai US$360 juta beberapa jam sebelum pernyataan MetaMask. Tidak ada indikasi bahwa transfer tersebut mencurigakan.
Kemiripan dengan Insiden Kiln
Insiden ini sangat mirip dengan kerugian US$41 juta pada operasi staking SOL milik Kiln pada September lalu. Dalam kasus tersebut, perusahaan juga mengeluarkan seluruh validator ETH aktif dan merotasi kunci penandatanganan mereka, serta memperlakukan semua operasi terkait sebagai “berpotensi tereksploitasi.”
Sorotan terhadap ConsenSys
Pada Juli, Drop Site News melaporkan bahwa ConsenSys, pengembang MetaMask yang pada awal September mengganti nama menjadi MetaMask dan ConsenSys, “tanpa sengaja mempekerjakan seorang pengembang perangkat lunak yang terhubung dengan Korea Utara… sebagai konsultan.” Namun, laporan itu tidak menunjukkan bahwa peran konsultan yang berlangsung sekitar satu bulan tersebut berkaitan dengan operasi staking yang terdampak.
Antrean Keluar Staking ETH Melonjak
Respons MetaMask memicu lonjakan antrean keluar staking ETH yang mencapai level tertinggi sepanjang tahun ini. Antrean melonjak dari sekitar 200.000 ETH pada Rabu menjadi lebih dari 700.000 ETH pada Kamis, sehingga waktu tunggu penarikan naik dari tiga setengah hari menjadi hampir dua minggu.
Penyedia liquid staking, Lido, memperkirakan ETH milik MetaMask akan di-deposit kembali setelah “siklus keluar, penarikan, dan masuk kembali” para validator, yang diperkirakan memakan waktu hingga sekitar 45 hari akibat antrean masuk yang panjang.
