MetaMask 爆出一宗与以太坊质押有关的基础设施安全事件，但这次出问题的并不是一般用户日常使用的MetaMask 钱包，而是背后负责以太坊质押服务的验证者基础设施（validator infrastructure）。
MetaMask 9 月30 日证实，公司正在处理一宗影响「部分基础设施」的持续安全事件，目前已与外部合作伙伴及资安顾问共同调查。官方同时强调，截至目前并未发现MetaMask 钱包面临立即威胁；但基于风险控制考量，MetaMask 已开始退出旗下非托管质押服务中受影响的以太坊验证者。
Lido 随后确认，MetaMask Staking，也就是原本的Consensys Staking，已开始退出其在Lido 协议中营运的验证者。最后一批受影响验证者预计在10 月7 日前完成退出；但由于ETH 之后还需要经过提款、重新排队及重新启用验证者等流程，完整恢复质押的时间最长可能接近45 天。
MetaMask 钱包没事，为什么验证者还是要全部退出？
关键在于，钱包私钥与验证者签名金钥不是同一套东西。
MetaMask 钱包属于自我托管工具，用户自己掌握钱包私钥；但MetaMask 的质押服务，则需要替用户实际营运以太坊验证节点，包括节点伺服器、验证者签名系统，以及相关云端与部署基础设施。
MetaMask 官方文件指出，当用户投入32 ETH 建立验证者后，日常的节点与验证工作会由其质押基础设施负责。因此，即使攻击者完全没有碰到一般MetaMask 用户的钱包私钥，只要MetaMask 无法排除验证者签名金钥、远端签名系统、云端帐号、部署环境或其他生产系统曾被接触，就不能放心让原本的验证者继续运作。这也是为什么「MetaMask 钱包没有被骇」与「必须退出验证者」两件事并不矛盾。
真正怕的不是ETH 被直接偷走，而是遭到削减惩罚
以太坊验证者有两类非常重要的金钥。
- 第一类是提款凭证（withdrawal credentials），决定质押ETH 最终可以提领到哪个地址。
- 第二类是验证者签名金钥（validator signing key），用来执行日常验证工作，例如区块证明与区块提议。
MetaMask 特别强调，其非托管质押服务不掌握客户的提款金钥。因此，即使验证者基础设施遭到入侵，也不代表攻击者可以直接把用户质押的ETH 提走。
但如果验证者签名金钥外泄，风险仍然很大。例如，攻击者若在另一台机器上使用同一把验证者金钥，与合法节点同时签署互相冲突的资料，就可能触发以太坊的削减惩罚（slashing）。一旦发生削减，验证者所质押的ETH 可能真的受到损失。只要无法完全排除签名金钥或相关系统曾被接触，最保守的做法就是先把相关验证者退出。
为什么不能直接换一把金钥就好？
这也是这次事件最容易让人疑惑的地方。
一般网站如果发现API 金钥或密码可能外泄，通常可以直接：撤销旧金钥→ 换新金钥→ 继续运作。
但以太坊验证者并不是这么简单。验证者一旦建立后，其签名金钥不能像一般密码一样，在保持原验证者身分的情况下随时替换。如果要彻底排除「旧签名金钥可能已经被复制」的风险，最干净的做法通常是：「退出旧验证者→ 等待ETH 可提款→ 重建干净的基础设施→ 建立全新的验证者金钥→ 再把ETH 重新投入质押」
这也是为什么一次基础设施安全事件，会演变成大规模退出验证者，而不是单纯把伺服器重新开机。
为什么要整批退出，而不是只退部分？
原因在于资安事件刚发生时，最难确认的通常不是「有没有出事」，而是到底哪些系统曾被攻击者碰过。
目前MetaMask 尚未公布完整的根本原因，也没有公开证实验证者签名金钥已经遭窃。但如果同一批验证者共用部分云端帐号、部署流程、远端签名服务或密钥管理系统，那么在调查尚未完成前，很难精准判定哪些金钥「一定安全」、哪些可能受到影响。
所以，对专业质押服务商而言，最保守的处理方式通常是只要属于受影响基础设施范围，就先退出，再重新建立。需要注意的是，MetaMask 官方用词是「受影响的验证者」，并没有明确表示全球所有MetaMask 质押验证者都被全部退出。
10 月7 日就退出完成，为什么又要45 天？
因为「退出验证者」和「重新开始赚取质押收益」中间还有很多步骤。
完整流程大致如下：
- 验证者提出退出
- → 等待退出排队
- → 正式退出
- → ETH 变成可提款
- → 资金重新回到质押池
- → 排队建立新的验证者
- → 新验证者启用
- → 再次开始产生质押收益
Lido 表示，最后一批受影响验证者预计在10 月7 日前完成退出；但ETH 重新进入质押系统后，还要面对目前相当拥挤的以太坊验证者进场排队，因此完整周期最长可能接近45 天。
截至10 月1 日，beaconcha.in 显示，以太坊目前约有：
- 157.8 万枚ETH 等待进入质押，预估排队时间约27.4 天；
- 57.6 万枚ETH 等待退出，预估约需10 天。
从验证者开始排队退出，到ETH 可以正式提款，整体估计约需11 天左右。另一项即时统计显示，目前以太坊约有4,370 万枚ETH 处于质押状态，占总供应量约35.8%，质押年化报酬率约2.64% 。
受影响验证者在退出并重新建立期间，确实会有一段时间无法正常产生完整质押收益，因此Lido 整体可能出现一定程度的收益损失。
如果验证者在正式退出前就先停止运作，期间还可能出现少量离线惩罚（downtime penalty）。但这不代表所有MetaMask 用户的ETH 都停赚45 天，也不代表所有stETH 持有人停止获得收益。
Lido 是一个共同质押池，资金分散给多个不同的节点营运商。 MetaMask Staking 只是其中一个节点营运商，因此这次退出主要会影响该营运商负责的验证者，而不是整个Lido 系统。
Lido 已表示，stETH 持有人不需要采取任何额外操作。目前Lido 在以太坊上的总锁仓价值仍约265 亿美元。
Lido 有缓冲机制，降低单一营运商退出冲击
Lido 表示，协议本身采用多个节点营运商分散运作，因此单一营运商退出部分验证者，不至于直接让整个质押系统停摆。 Lido 同时准备了超过6,750 枚stETH 的临时储备，用来降低这次验证者退出对整体系统造成的影响。
这也是流动性质押与自己单独跑一台验证者最大的差别。如果个人只有一台32 ETH 验证者，一旦退出，这32 ETH 在重新进场前基本上就不会再产生正常的验证者收益。但Lido 是把大量ETH 分配给多个不同营运商，因此某一个营运商暂时撤出，只会由整个质押池共同吸收影响。
截至10 月1 日，ETH 价格约2,685 美元，市场并未因这次事件出现明显恐慌。目前也没有迹象显示stETH 因这次事件出现明显价格脱钩。
但真正的风险程度目前仍未完全确定，因为MetaMask 尚未公布完整的事故根本原因。
本文链接地址：https://www.wwsww.cn/qianbao/41570.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
