एक हमलावर मेटामास्क के एथेरियम स्टेकिंग ऑपरेशन से लगभग 0.36 ईटीएच (लगभग एक हजार डॉलर से भी कम मूल्य) चुरा ले गया। इसके जवाब में मेटामास्क ने लगभग 17,000 वैलिडेटर्स को नेटवर्क से हटा दिया, जिनके पास लगभग 523,000 ईटीएच थे, जिनकी मौजूदा कीमत लगभग 1.4 बिलियन डॉलर है। नुकसान की भरपाई और नुकसान को रोकने का अनुपात, सीधे शब्दों में कहें तो, 1:1 नहीं है।

यह घटना 30 सितंबर, 2026 को शुरू हुई, जब मेटामास्क ने "हमारे बुनियादी ढांचे के एक हिस्से को प्रभावित करने वाली एक चल रही सुरक्षा घटना" का खुलासा किया। कंपनी ने तुरंत इस बात पर जोर दिया कि उसे मेटामास्क वॉलेट के लिए कोई तत्काल खतरा नहीं मिला है। यह समस्या मेटामास्क स्टेकिंग तक ही सीमित थी, जो कि वैलिडेटर व्यवसाय है जिसे पहले कंसेंसिस स्टेकिंग के नाम से जाना जाता था, जो लिडो, कॉइनबेस और अपने स्वयं के पूल्ड स्टेकिंग उत्पाद के लिए एथेरियम वैलिडेटर संचालित करता है।

वास्तव में क्या चोरी हुआ?

सच कहें तो, ज़्यादा कुछ नहीं। सुरक्षा शोधकर्ता 0xKaden द्वारा किए गए ऑन-चेन विश्लेषण और Bitquery की विस्तृत जांच के अनुसार , हमलावर ने 30 सितंबर को ब्लॉक रिवॉर्ड अर्जित करने वाले 19 में से लगभग 18 MetaMask-संचालित वैलिडेटर्स पर शुल्क प्राप्तकर्ता का पता बदल दिया। लगभग साढ़े चार घंटे तक, 12:12 और 16:46 UTC के बीच, ब्लॉक टिप्स - यानी लेन-देन को ब्लॉक में शामिल करवाने के लिए उपयोगकर्ताओं द्वारा भुगतान की जाने वाली अतिरिक्त फीस - Tornado Cash के माध्यम से वित्त पोषित एक वॉलेट में पुनर्निर्देशित की गई।

कुल प्राप्त राशि: 0.36 ETH. लगभग $950. उस वॉलेट में, जिसमें उस सुबह 10:27 UTC पर Tornado Cash से 0.1 ETH प्राप्त हुआ था, अगले दिन तक कोई गतिविधि नहीं हुई थी। कोई वैलिडेटर स्टेक नहीं लिया गया। कोई स्लैशिंग नहीं हुई। हमलावर स्टेक किए गए ETH तक नहीं पहुंच सका, क्योंकि निकासी क्रेडेंशियल क्लाइंट द्वारा नियंत्रित होते हैं, न कि MetaMask के स्टेकिंग इंफ्रास्ट्रक्चर द्वारा।

तो फिर इतनी बड़ी प्रतिक्रिया क्यों? क्योंकि हमलावर के पास उन मशीनों तक पहुंच थी जो ब्लॉक पर हस्ताक्षर करती हैं और शुल्क पते निर्धारित करती हैं। इसका मतलब है कि हस्ताक्षर कुंजी उजागर हो गई होंगी। हस्ताक्षर कुंजी को बदला नहीं जा सकता - इसका एकमात्र उपाय है कि वैलिडेटर को पूरी तरह से बंद करके एक नई कुंजी के साथ फिर से शुरू किया जाए। मेटामास्क ने पहली सूचना मिलने से पहले ही वैलिडेटर को हटाना शुरू कर दिया था, जिससे पता चलता है कि उन्होंने कुछ संदिग्ध चीज को जल्दी ही भांप लिया था और अंतिम उपाय को ही सुरक्षित विकल्प समझा।

श्रृंखला अभिक्रिया

इन निकासी से इथेरियम की स्टेकिंग कतार बुरी तरह प्रभावित हुई। निकासी कतार एक ही दिन में लगभग 200,000 ETH से बढ़कर 700,000 ETH से अधिक हो गई, जिससे प्रतीक्षा समय साढ़े तीन दिन से बढ़कर लगभग दो सप्ताह हो गया। लिडो, जिसका stETH टोकन मेटामास्क द्वारा संचालित वैलिडेटर्स द्वारा समर्थित है, ने stETH धारकों को बताया कि अंतिम प्रभावित वैलिडेटर 7 अक्टूबर तक बाहर निकल जाएगा। पूरी प्रक्रिया - बाहर निकलना, निकासी करना, नई कुंजियों के तहत पुनः जमा करना और सक्रियण कतार में पुनः प्रवेश करना - में 45 दिन तक लग सकते हैं, इस दौरान उस ETH पर कोई लाभ नहीं मिलेगा।

लिडो स्टेकर्स के लिए असली नुकसान चोरी हुए फंड नहीं हैं, बल्कि समय की बर्बादी है। लिडो द्वारा सेट किए गए 11 ब्लॉकों से मिले लगभग 0.19 ETH टिप्स लिडो के रिवॉर्ड वॉल्ट में जाने के बजाय घुसपैठिए के पास चले गए। लिडो का 6,750 stETH का रिज़र्व उसके अपने वैलिडेटर्स के लिए सबसे खराब स्थिति में भी स्लेशिंग की स्थिति को संभाल सकता था। लेकिन अगर मेटामास्क द्वारा संचालित सभी वैलिडेटर एक साथ स्लेश हो जाते - जो कि नहीं हुआ - तो लगभग 22,000 ETH बर्बाद हो जाते, जो लिडो के रिज़र्व से कहीं अधिक होता। सिस्टम एक बड़े खतरे से बच गया।

एक चिंताजनक पृष्ठभूमि

यह सब अचानक नहीं हो रहा है। जुलाई में, ड्रॉप साइट न्यूज़ ने रिपोर्ट किया था कि मेटामास्क की मूल कंपनी, कंसेंसिस ने अनजाने में उत्तर कोरिया से जुड़े एक सॉफ्टवेयर डेवलपर को लगभग एक महीने के लिए सलाहकार के रूप में नियुक्त किया था। इस घटना का 30 सितंबर के स्टेकिंग डेटा लीक से कोई संबंध नहीं है। लेकिन टॉरनेडो कैश फंडिंग, कुकॉइन रूटिंग और हमले की खामोश और पेशेवर तरीके से की गई कार्रवाई स्टेकिंग इंफ्रास्ट्रक्चर से जुड़े किसी भी व्यक्ति को थोड़ा चिंतित करने के लिए काफी है।

यह पहली बार नहीं है कि किसी स्टेकिंग प्रदाता को संदिग्ध सुरक्षा उल्लंघन के कारण वैलिडेटर्स को हटाना पड़ा हो। प्रतिस्पर्धी ऑपरेटर किल्न ने पिछले सितंबर में अपने एसओएल स्टेकिंग संचालन में 41 मिलियन डॉलर के नुकसान के बाद अपने सभी सक्रिय वैलिडेटर्स को हटा दिया था, हस्ताक्षर कुंजी को बदल दिया था और संबंधित बुनियादी ढांचे को संभावित रूप से असुरक्षित मानते हुए कार्रवाई की थी। यह सिलसिला अब आम होता जा रहा है: एक छोटा सा उल्लंघन, एक बड़ी एहतियाती कार्रवाई, और कुंजी कैसे संग्रहीत की जाती हैं और कौन उन तक पहुंच सकता है, इस बारे में कई सवाल।

मेटामास्क ने अभी तक सार्वजनिक रूप से यह नहीं बताया है कि हमलावर ने घुसपैठ कैसे की, क्या वास्तव में साइनिंग कीज़ से समझौता हुआ था, या किस विशिष्ट इंफ्रास्ट्रक्चर कंपोनेंट को निशाना बनाया गया था। कंपनी ने कहा है कि वह बाहरी सुरक्षा साझेदारों के साथ काम कर रही है और उसने आगे कोई जानकारी नहीं दी है। उन हजारों स्टेकर्स के लिए जिनका ETH अब एग्जिट क्यू में है, यह चुप्पी बिल्कुल भी आश्वस्त करने वाली नहीं है।

किसी भी प्रदाता के माध्यम से ETH स्टेक करने वाले किसी भी व्यक्ति के लिए मुख्य बात यह है कि यदि प्रदाता निकासी कुंजी को नियंत्रित नहीं करता है, तो आपकी मूल राशि शायद सुरक्षित है। लेकिन जब कुछ गड़बड़ होती है, तो आपके पुरस्कार, आपका अपटाइम और आपका धैर्य सब दांव पर लग जाते हैं। $950 की चोरी ने $1.4 बिलियन के वैलिडेटर पलायन और निकासी में दो सप्ताह की रुकावट को जन्म दिया। गणित बेतुका है, लेकिन तर्क सही है। स्टेकिंग में, एक समझौता की गई साइनिंग कुंजी कोई छोटी समस्या नहीं है - यह सब कुछ खत्म करके फिर से शुरू करने का कारण है।

---------------

लेखक: डोरियन फेनविक
विशेष आयात लाइसेंसicoएन वैली न्यूज़रूम
ब्रेकिंग क्रिप्टो न्यूज