Un incidente de seguridad que afectó parte de la infraestructura de MetaMask llevó al proveedor de wallets a retirar los validadores de Ethereum afectados de Lido, mientras continúa una investigación con socios externos de seguridad, según una actualización para usuarios de la compañía.

MetaMask indicó que no ha identificado una amenaza inmediata para las wallets de MetaMask y que no ha revelado evidencia de que las claves privadas de las wallets o las credenciales de retiro de los usuarios hayan sido comprometidas. La medida preventiva se limita a los validadores dentro de su operación de staking no custodial. Esa infraestructura no controla las claves de retiro de los clientes: si bien MetaMask puede operar validadores y realizar sus funciones, los clientes mantienen el control de las credenciales necesarias para retirar el stake subyacente.

Comienzan las salidas de validadores de Lido

MetaMask Staking, anteriormente Consensys Staking, ha comenzado a retirar sus validadores de Ethereum del protocolo Lido, tal como se detalla en un anuncio de seguridad en el foro de investigación de Lido. Se espera que los últimos validadores afectados completen sus salidas antes del final del 7 de octubre, aunque el ETH subyacente no estará necesariamente retirado por completo para esa fecha.

El proceso puede generar la pérdida de recompensas de staking y posibles penalizaciones por inactividad si los validadores se desconectan antes de completar sus salidas. Sin embargo, desconectar los validadores puede reducir la exposición a posibles penalizaciones de la red mientras la infraestructura comprometida es aislada.

Los holders de stETH no necesitan tomar ninguna medida. Se espera que el ETH que sale de los validadores operados por MetaMask regrese gradualmente a medida que el stake afectado pasa por el proceso de salida, retiro y reingreso de Ethereum. El ciclo completo podría tardar hasta 45 días debido a la cola actual de ingreso de validadores. Este episodio también ofrece una visión de cómo se estratifica el liquid staking: el token stETH permanece con los holders, mientras que los incidentes de este tipo se gestionan a nivel de validadores y operadores de nodos, por debajo. Para quienes sigan las consecuencias, los puntos observables son la fecha límite de salida del 7 de octubre, el ritmo con el que el ETH reingresa a través de la cola y si alguna de las investigaciones revela el alcance afectado o la causa raíz.

La exposición de Lido está distribuida entre múltiples operadores de nodos en lugar de un solo proveedor de staking. Sus disposiciones de seguridad también incluyen una reserva ad hoc de más de 6,750 stETH para absorber interrupciones que afecten las operaciones normales del protocolo. El riesgo operativo de proveedores de nodos individuales permanece separado del debate más amplio sobre la concentración del staking en Lido, donde la distribución de validadores y la dependencia de grandes operadores han sido temas centrales para el staking de Ethereum.

La causa raíz no ha sido revelada

MetaMask aún no ha identificado públicamente qué componente de infraestructura fue comprometido, cómo se obtuvo el acceso ni cuántos validadores están afectados. Por lo tanto, describir el evento como un compromiso de la wallet o una pérdida de fondos de usuarios iría más allá de la evidencia disponible actualmente.

El incidente se produce después de una interrupción de conectividad independiente de MetaMask en junio, aunque no se ha establecido ninguna conexión entre ambos eventos.

MetaMask está remediando la infraestructura afectada con socios externos y asesores de seguridad mientras continúan las salidas de validadores. La investigación completa de Lido también sigue en curso, y los validadores afectados tienen previsto actualmente abandonar el conjunto activo de validadores antes del 7 de octubre.