MetaMask sieht keine Bedrohung für Nutzergelder, während die Lido-Validator-Exits in den zweiten Tag gehen
Wichtige Erkenntnisse
- •MetaMask untersuchungen bis zum 1. Oktober ergaben keine Hinweise darauf, dass während des Sicherheitsvorfalls auf Kundengelder zugegriffen wurde.
- •Das Unternehmen zieht vorsorglich seine Ethereum-Validatoren aus Lido ab; der letzte Validator dürfte bis Ende des 7. Oktober aussteigen, vollständige Abhebungen erfordern mindestens weitere 27 Tage und 18 Stunden.
- •MetaMask Staking arbeitet nicht-verwahrend (non-custodial) und hält keine Withdrawal-Keys für das Staking, den es im Auftrag von Kunden verwaltet.
- •Lido hat stETH-Inhabern versichert, dass keine Maßnahmen ihrerseits erforderlich sind, wobei keines der beiden Unternehmen die Art der Kompromittierung näher erläutert hat.
- •Der Vorfall ereignet sich rund drei Wochen nach der Trennung von MetaMask und Consensys und erinnert an Kilns vorsorglichen Exit aus Lido im September 2025 nach dem rund 40 Millionen Dollar schweren SwissBorg-Vorfall.
MetaMask erklärt, dass es keine Hinweise darauf gefunden hat, dass Nutzer-Wallets oder Kundengelder einer unmittelbaren Bedrohung ausgesetzt waren, und bekräftigt in seiner jüngsten Sicherheitsaktualisierung, dass es weiterhin auf Schritte zur „Eindämmung und Verifizierung“ fokussiert ist. Parallel dazu setzte das Unternehmen die vorsorgliche Abziehung seiner Ethereum-Validatoren aus dem Lido-Staking-Protokoll fort.
Keine unmittelbare Bedrohung für Wallets
Während die Nachfassende Aktualisierung keine Details zu dem Sicherheitsvorfall enthielt, erklärte MetaMask, dass es aufgrund seiner Untersuchungen bis zum 1. Oktober keine Hinweise darauf gesehen habe, dass auf Kundengelder zugegriffen wurde, wie in seinem Nutzer-Update zu lesen ist.
Der Staking-Dienst von MetaMask ist nicht-verwahrend (non-custodial), was bedeutet, dass das Unternehmen keine Withdrawal-Keys für das Staking hält, das es im Auftrag von Kunden betreibt.
MetaMask Staking, früher bekannt als Consensys Staking, betreibt Validatoren innerhalb von Lido, dem größten Ethereum-Liquid-Staking-Protokoll, und zieht diese Validatoren als Vorsichtsmaßnahme offline. Auch Lido hat die Schwachstelle nicht spezifiziert. Ein Governance-Forumsbeitrag versicherte jedoch stETH-Inhabern, dass keine Maßnahmen ihrerseits erforderlich sind. stETH ist der Liquid-Staking-Token, den Lido an Teilnehmer ausgibt und der deren gestaktes Ether repräsentiert, während die zugrunde liegenden Gelder in den Validatoren des Protokolls gesperrt bleiben.
Die betroffenen Validatoren befinden sich bereits in der Exit-Warteschlange; der letzte dürfte — wenn auch nicht vollständig abgehoben — bis Ende des 7. Oktober aussteigen. Die Rückführung dieses abgehobenen Ethers in aktive Validator-Positionen dauert laut der Ethereum-Validator-Warteschlange mindestens weitere 27 Tage und 18 Stunden. Die Wartezeit spiegelt das Design von Ethereum wider, das Validator-Exits und Abhebungen über Warteschlangenelt, die begrenzen, wie viele gleichzeitig verarbeitet werden können — ein Grund, warum selbst ein routinemäßiger, vorsorglicher Exit gestakte Gelder wochenlang gesperrt lassen kann.
Ein erster Stresstest für ein neu unabhängiges MetaMask
Der Vorfall ereignet sich kaum drei Wochen nachdem MetaMask ein unabhängiges Unternehmen wurde. Eine Ankündigung vom 9. September bestätigte die Aufspaltung in das Consumer-Wallet-Geschäft MetaMask und den Protokoll- und Institutional-Arm Consensys. Cryptopolitan berichtete seinerzeit, dass die Trennung bis Ende des Jahres abgeschlossen sein soll.
MetaMask positioniert sich als die größte selbst-verwahrende (self-custodial) Finanzplattform der Welt, mit mehr als 100 Millionen Downloads in rund 190 Ländern und einem kumulierten Transaktionsvolumen von Billionen von Dollar.
Der Vorfall erinnert an September 2025, als die Staking-Plattform Kiln ihren eigenen „geordneten Exit“ aus Ethereum-Validatoren durchführte, nachdem eine von ihr bereitgestellte API im Zuge des rund 40 Millionen Dollar schweren SwissBorg-Vorfalls ausgenutzt worden war. Wie MetaMask jetzt betonte auch Kiln, dass Kundenvermögen sicher sei.
MetaMask hat nicht gesagt, ob die Validatoren, die es außerhalb von Lido betreibt, vom aktuellen Vorfall betroffen sind, und weder das Unternehmen noch Lido haben die Art der Kompromittierung näher erläutert. MetaMask sagt, es werde weitere verifizierte Informationen mitteilen, sobald diese verfügbar sind. Für alle, die die Lage verfolgen, sind die sichtbaren Marker die Räumung der Exit-Warteschlange bis Ende des 7. Oktober sowie verifizierte Updates, die MetaMask über seine offiziellen Kanäle veröffentlicht.
In der Zwischenzeit erinnerte das Unternehmen die Nutzer daran, ihre Secret Recovery Phrase oder privaten Schlüssel nicht mit irgendjemandem zu teilen, und appellierte, bei allen Mitteilungen Vorsicht walten zu lassen, die nicht direkt von seinen offiziellen Kanälen stammen.
