MetaMask tira milhares de validadores do Ethereum após desvio de apenas 0,36 ETH em gorjetas

Menos de US$ 1 mil em gorjetas de blocos desviadas foram suficientes para que a MetaMask iniciasse a retirada de milhares de validadores do Ethereum. O incidente, divulgado pela empresa às 20h38 de 30 de setembro, no horário de Brasília, envolveu o comprometimento de parte da infraestrutura do serviço de staking. A companhia afirma não haver indício de que carteiras ou fundos de clientes tenham sido afetados.

Pelos cálculos do pesquisador de segurança Kaden, o atacante desviou cerca de 0,36 ETH, menos de US$ 1 mil com o ether a aproximadamente US$ 2.700. A resposta foi muito maior que o valor: segundo o mesmo pesquisador, cerca de 17 mil validadores com aproximadamente 523 mil ETH entraram no processo de saída. A MetaMask não confirmou publicamente esses números, mas a Lido confirmou que os validadores operados pelo MetaMask Staking estão sendo retirados de seu protocolo.

Conforme o Bitcoin.com News, a explicação está na arquitetura do serviço. Validadores do Ethereum costumam ter 32 ETH em stake, e a MetaMask descreve sua operação como não custodial: ela não controla as chaves de saque, necessárias para resgatar o valor depositado. A análise de Kaden indica que 19 validadores da MetaMask receberam recompensas de blocos, mas 18 delas foram direcionadas a um endereço errado de recebimento de taxas, abastecido por meio do misturador Tornado Cash. Outra análise situou a atividade em cerca de quatro horas e meia no dia 30 de setembro.

Trocar o destinatário das taxas desvia gorjetas sem tocar no stake. O problema seria maior se o invasor tivesse acesso às chaves de assinatura dos validadores. Elas não permitem sacar o stake, mas podem ser usadas para forçar infrações punidas com slashing, mecanismo do Ethereum que destrói parte do depósito e retira o validador de serviço. A Bitquery contou 16.965 validadores com 565.056 ETH que saíram ou entraram na fila de saída até 1º de outubro e estimou que um slashing simultâneo de cerca de 17 mil validadores poderia eliminar perto de 22 mil ETH. Nenhum validador havia sido punido na análise. Kaden também apontou cerca de 821 validadores possivelmente afetados que seguiam ativos.

O custo principal é o tempo parado. A Lido prevê que seus validadores afetados concluam a saída até 7 de outubro, mas voltar a gerar recompensas exige sair, sacar e reentrar pela fila de entrada, processo que pode levar cerca de 45 dias. Durante esse período, o ether retirado não rende. A fila de saída já tinha cerca de 393.795 ETH aguardando, com estimativa de quatro dias e seis horas de processamento antes do prazo adicional de saque.

A Lido informou que detentores de stETH não precisam tomar nenhuma providência, e a MetaMask passou a mesma orientação aos usuários da carteira, com o alerta de que não entreguem a frase de recuperação a ninguém que ofereça "proteção". A empresa não detalhou até onde o invasor chegou em sua infraestrutura nem quão perto esteve de algo mais sensível que o mecanismo de gorjetas.

Para os brasileiros que usam a MetaMask, o recado prático é direto: não há indicação de risco às carteiras, e a frase de recuperação nunca deve ser compartilhada. O episódio também mostra que, no staking, uma falha pequena em valor pode gerar semanas de rendimento perdido para quem tem ether depositado.