MetaMaskのステーキング不正アクセス、0.385 ETHの報酬が流出

改ざんされた報酬アドレスを通じて0.385 ETHが流出

MetaMaskのインフラ内で管理されていた報酬受取アドレスが本来とは別の宛先に支払う状態となり、約0.385 イーサリアム (ETH)相当のステーキング報酬が外部アドレスに送られた。同社によると、9月28日に攻撃者がインフラの一部へ不正アクセスし、バリデータの一部について報酬の受取先を変更したという。バリデータは、Ethereumネットワークがプルーフオブステーク方式で取引を検証し報酬を得る仕組みの参加者だ。同社は木曜日に公表した公式のインシデント報告の中で、事件当日に改ざんアドレスを発見し、ただちに修正したと説明している。

問題の所在はプロトコルではなく、保管側にあった。一部バリデータの報酬受取アドレスは中央管理型インフラに保存されており、そのシステムに到達できた攻撃者は、ユーザーのウォレットには一切触れることなく支払い先を差し替えられた。流出した0.385 ETHは実行層の報酬収入、つまりバリデータが稼働中に継続的に受け取る報酬であり、顧客の預け入れ原資(元本)とは別物だ。MetaMaskのステーキングサービスは顧客に代わってバリデータを運用しているため、保存された一つの項目の書き換えが複数のポジションの報酬収入に同時に影響し得た。同日中の修正により、誤った宛先へ支払われる期間は閉じられた。

木曜日の公式報告によれば、影響を受けた全バリデータの退出手続きは完了している。バリデータの退出は検証業務と報酬の流入を止めるもので、支払先改ざんが判明した段階で同社が取った封じ込め措置だ。オンチェーンデータによる先行の推計では、約0.36 ETHが身元不明のアドレスへ送られたとされており、MetaMaskが公表した0.385 ETHは同一事件に対する同社側の会計上の数値で、推計に上乗せされた追加損失ではない。今回の開示は、イーサリアム(ETH)の価格が過去24時間で7.9%下落する中で出された。COINOTAGのライブ市場監視による。

元本と鍵には影響なし

MetaMaskの調査では、顧客のステーキング元本や引き出し用鍵が侵害された痕跡は確認されていない。公式報告はウォレット製品そのものについても明確で、ウォレットやそのインフラへの侵害を示す兆候はなく、シークレットリカバリーフレーズや秘密鍵が露出した事実もないという。攻撃者が到達したのは報酬まわりの配管であり、金庫ではなかった。

一方で、退出は支払いを意味する手続きではない。退出はバリデータの参加と報酬の流れを止めるだけで、それ自体が顧客資金を解放するわけではなく、資金はその後Ethereum (ETH)上で別の引き出し手続きを経る。退出完了後も残高はネットワーク固有のスケジュールに沿って引き出し可能になるため、遅延は退出完了と資金到着の間に生じる。この隙間が顧客向けの主な症状となり、バリデータの退出処理が進む間、一部の顧客に一時的な引き出し遅延が発生した。同社は、退出中または再有効化待ちのバリデータの期間中に報酬を取り逃した顧客がいる可能性も認めている。ただしその取り逃した報酬の額は公式報告に数値がなく、流出した0.385 ETHとは別のものだ。0.385 ETHは持ち去られた報酬収入であり、数値化されていない分は遅延した収入であって、奪われたわけではない。規模を見るうえでこの区別は重要だ。

通常のウォレットユーザーには対応不要だと同社は伝えている。ステーキング契約がこの事件の影響を受けた顧客には、MetaMaskまたはステーキング提供元から直接届く案内に従うよう求めている。MetaMaskは不正アクセスを遮断し、影響を受けたシステムを固定化したうえで、残る影響の整理を顧客やパートナーと進めていると説明する。ウォレット自体に影響を示す兆候は報告されておらず、一般のウォレット利用者はこの対象の外にいる。

決め手となる事実は、報酬アドレスの保管場所について同社自身が示した説明にある。支払い先のポインタが攻撃者の届く中央インフラに置かれており、今回の件はEthereumのプロトコルやウォレットの鍵管理の欠陥ではなく、保管設計上の失敗だった。実際に流出した0.385 ETHは小規模で、退出処理が影響範囲を封じ込めた。ただし未解決の点は二つ残る。退出中のバリデータに伴い顧客が取り逃した可能性のある報酬は数値化されておらず、アドレスの保管場所は説明されているものの、不正アクセスがどう確立されたのかは明らかにされていない。両者の回答が出るまで、0.385 ETHは奪われた額を測る指標であって、事件全体のコストではない。