ConsenSys-Gründer Joseph Lubin hat MetaMask-Nutzer beruhigt, dass es keine Anzeichen dafür gebe, dass der kürzliche Cyberangriff auf das Unternehmen das MetaMask-Wallet-System selbst betroffen hat. Er bestätigte, dass die Wallets und privaten Schlüssel der Nutzer vollständig sicher seien.

Das Update folgt auf die Meldung von MetaMask vom 30. September, dass ein Teil seiner Infrastruktur von einem Sicherheitsvorfall betroffen war. MetaMask ist die von ConsenSys entwickelte Self-Custody-Wallet – ein Design, bei dem die Nutzer und nicht das Unternehmen die Zugangsdaten halten, die ihre Guthaben kontrollieren.

In einem Beitrag auf X (https://x.com/ethereumJoseph/status/210616220729802928?s=20) beruhigte Lubin die Kunden: „Ihre Secret Recovery Phrase, Ihre Schlüssel und die Vermögenswerte in Ihrer Wallet waren nicht Teil dieses Vorfalls, weil sie es SEIN KÖNNEN NICHT. Sie verwalten und kontrollieren Ihre eigenen Schlüssel. So funktioniert Self Custody.“

Als die Sicherheitslücke am Donnerstag erstmals entdeckt wurde, schaltete MetaMask vorübergehend einige Ethereum-Staking-Maschinen ab, die das Unternehmen im Auftrag von Kunden betreibt. Schon zu diesem Zeitpunkt gab das Unternehmen an, keine „unmittelbare Bedrohung“ für Kunden-Wallets gesehen zu haben.

Lubin sagt, Validator-Keys wurden rotiert

In seinem X-Beitrag erklärte Lubin, warum es einige Zeit dauerte, bis er sich öffentlich zu dem Vorfall äußerte. Er wies darauf hin, dass MetaMask während laufender Untersuchungen öffentliche Kommentare einschränkt, aber Kernpartner und relevante Stakeholder informiert, sobald das Problem vollständig diagnostiziert ist.

Er betonte, dass die Gelder der Kunden sicher blieben, da das Unternehmen auf einem Self-Custody-Modell basiert, bei dem die Nutzer die vollständige Kontrolle über ihr eigenes Geld behalten.

Lubin erwähnte auch, dass das Unternehmen seine Validator-Keys rotiert hat, räumte jedoch einen Nachteil ein: Validatoren müssen die Staking-Warteschlange verlassen und erneut beitreten, um wieder zu staken – Prozess, der erhebliche Zeit in Anspruch nehmen kann. Ethereum integriert Ein- und Ausgangswarteschlangen in sein Protokoll, um zu regulieren, wie schnell Validatoren das Netzwerk verlassen und wieder beitreten können; die Wartezeiten verlängern sich, wenn große Zahlen von Validatoren sich gleichzeitig bewegen.

Das Unternehmen schaltete zudem einige seiner Staking-Maschinen ab. Lido, ein bedeutendes Staking-Protokoll, hatte zuvor angemerkt, dass eine solche Abschaltung zwar hilft, die gestakten Coins zu schützen, aber auch Kosten verursacht. Von MetaMask betriebene Validatoren haben begonnen, das System zu verlassen; von den übrigen Validatoren wird erwartet, dass sie bis zum 7. Oktober das Staking einstellen.

Die MetaMask-Validatoren haben einen Exit-Prozess begonnen, der am 7. Oktober abgeschlossen ist. Die Auszahlung des ETH kann etwa 45 Tage dauern. Darüber hinaus bedeutet die Bearbeitung der anschließenden 45-tägigen Ethereum-Eingangswarteschlange, dass die Assets über längere Zeit schlafend gestellt werden, Standarderträge entgehen und Straf risksieren, wenn sie offline geschaltet werden.

Was der Vorfall für MetaMask-Nutzer bedeutet

Die Unterscheidung zwischen der Infrastruktur von MetaMask und den Self-Custody-Wallets der Nutzer ist entscheidend für die Bewertung der Auswirkungen des Vorfalls. MetaMask erlaubt den Nutzern die Kontrolle über ihre eigenen privaten Schlüssel und Secret Recovery Phrases, anstatt diese im Namen der Nutzer zu halten. Ein Angriff auf einen Teil der ConsenSys-Infrastruktur verschafft einem Angreifer daher nicht automatisch Zugang zu den in den Wallets der Nutzer gespeicherten Geldern. Das steht im Gegensatz zu Custodial-Diensten, bei denen ein Anbieter Schlüssel im Namen der Kunden hält und ein erfolgreicher Angriff auf den Anbieter die Nutzer-Gelder direkt gefährden kann.

Der Angriff hat jedoch erneut die Risiken hervorgehoben, denen die Infrastruktur ausgesetzt ist, die Krypto-Dienste unterstützt. MetaMask arbeitet mit Ethereum-Validatoren und anderer Blockchain-Infrastruktur zusammen, was bedeutet, dass eine Kompromittierung den Betrieb stören kann, selbst wenn Kundenschlüssel und -assets außerhalb der Reichweite des Angreifers bleiben.

MetaMask hat die Nutzer zudem gewarnt, nach dem Vorfall auf Phishing-Versuche zu achten, und betont, dass Nutzer ihre Secret Recovery Phrase oder privaten Schlüssel niemals mit jemandem teilen sollten, der Unterstützung anbietet. Da Lubin sagte, das Unternehmen beschränke öffentliche Kommentare, solange die Untersuchung läuft, sind die offiziellen MetaMask-Kanäle die verlässliche Quelle für weitere Details, während die Diagnose fortschreitet.

MetaMask sah sich bereits früher in diesem Jahr einem weiteren Sicherheitsrisiko gegenüber

Der Infrastrukturvorfall folgt unmittelbar auf einen weiteren hochkarätigen Sicherheitsschrecken für ConsenSys. Im Juli 2026 wurde bekannt, dass ein Nordkorea nahestehender Softwareentwickler rund einen Monat lang innerhalb von MetaMask gearbeitet hatte, ohne dass ConsenSys von der wahren Identität des Entwicklers wusste.

Unter dem Decknamen „Tyler Knapp“ sicherte sich der Agent eine Beraterrolle und integrierte erfolgreich Code in kritische Wallet-Funktionen, die die Fiat-zu-Krypto-Brücke abwickeln. ConsenSys entzog ihm bei der Entdeckung den Backend-Zugang und bestätigte, dass keine Gelder gestohlen wurden.

Der Zugang des Agenten erstreckte sich vom 9. März bis zu seiner Entlassung im April – ein mehrywöchiges Zeitfenster, das bei Cybersicherheits-Analysten Alarm auslöste. Laut dem Blockchain-Intelligence-Unternehmen TRM Labs ist die Kompromittierung von Entwicklerumgebungen zur schnellsten Methode für Angreifer geworden, um an private Schlüssel eines Krypto-Unternehmens zu gelangen und Freigabeprozesse für Auszahlungen zu unterwandern.

Nach der Entdeckung der Sicherheitslücke im April informierte ConsenSys sofort die bundesstaatlichen Strafverfolgungsbehörden und leitete eine umfassende Überarbeitung seiner Hintergrundprüfungsprotokolle für Auftragnehmer ein. „Wir entdeckten die Bedrohung … und starteten eine umfassende Untersuchung, die bestätigte, dass es keine Veruntreuung von Assets oder Daten gab, kein bösartiger Code eingesetzt wurde und keine Auswirkungen auf die Sicherheit der Nutzer bestanden“, erklärte Matt Corva, General Counsel von ConsenSys.

Die Sicherheitslücke ist keineswegs ein Einzelfall. Staatsgestützte nordkoreanische Agenten geben sich regelmäßig als qualifizierte Ingenieure aus, um Remote-Rollen zu erhalten und über ihren Zugang proprietäre Daten abzuschöpfen oder Hintertüren einzurichten.

Forscher des von Ethereum finanzierten Ketman-Projekts hatten 100 verdächtige nordkoreanische IT-Arbeiter identifiziert, die erfolgreich in 53 verschiedene Krypto-Plattformen eingedrungen waren. Diese Agenten nutzen in der Regel gefälschte Ausweisdokumente und falsche Recruiter-Profile, um die HR-Prüfung zu umgehen, und greifen gelegentlich auf US-Bürger zurück – von denen einige inzwischen inhaftiert wurden –, um die physischen und digitalen Standorte der Arbeiter zu verschleiern.