MetaMask retira sus validadores de Lido tras un incidente de seguridad en su infraestructura
Puntos clave
- •MetaMask comenzó a retirar de forma preventiva los validadores de Ethereum que opera a través de Lido tras un incidente de seguridad en su infraestructura, con unos 17,000 validadores que mantienen aproximadamente 523,000 ETH, valorados en cerca de 1,400 millones de dólares, en proceso de salida.
- •MetaMask dijo que no identificó una amenaza inmediata a las wallets de MetaMask, y ambas compañías enfatizaron que el esquema de staking es no custodial, con MetaMask sin poseer las claves de retiro de los clientes. Las salidas, que se espera completen al cierre del 7 de octubre, probablemente resultarán en recompensas perdidas y posibles penalizaciones por inactividad, y el stake devuelto podría tardar hasta 45 días en circular por la cola de entrada de Ethereum.
- •Un análisis en cadena no confirmado del investigador Kaden indicó que 18 pagos de recompensas de bloque por un total de aproximadamente 0.36 ETH, un valor inferior a 1,000 dólares, fueron dirigidos a una dirección financiada a través de Tornado Cash, aunque el atacante probablemente nunca tuvo la capacidad de retirar el ETH en stake.
- •Aave y Ethena reportaron sin impacto por el incidente, que marca el segundo compromiso que involucra a un gran operador de Lido en poco más de un año, tras las salidas de validadores de Kiln en septiembre de 2025.
MetaMask está respondiendo a un "incidente de seguridad en curso" que afecta parte de su infraestructura y ha comenzado a retirar los validadores de Ethereum que opera a través de Lido como medida de precaución, informaron las compañías el miércoles.
El desarrollador de la wallet dijo que había identificado "ninguna amenaza inmediata a las wallets de MetaMask". Está investigando y remediando el problema internamente con socios externos y asesores de seguridad, mientras retira los validadores afectados dentro de sus operaciones de staking no custodial y se coordina con clientes y socios.
Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask 🦊 (@MetaMask) September 30, 2026
https://x.com/MetaMask/status/2105442300335620460?ref_src=twsrc%5Etfw
MetaMask Staking, anteriormente Consensys Staking, opera validadores en Lido, el mayor protocolo de liquid staking de Ethereum. El liquid staking permite a los usuarios hacer stake de ETH sin ejecutar sus propios validadores y recibir un token a cambio —en el caso de Lido, stETH—, una estructura que vincula la seguridad de los operadores de nodos individuales directamente con activos utilizados en toda las finanzas descentralizadas. Lido reveló las salidas en un aviso de seguridad publicado en su foro de gobernanza, describiendo la causa como un compromiso de infraestructura bajo investigación.
Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) September 30, 2026
Lido dijo que la medida probablemente resultará en recompensas perdidas y podría llevar a penalizaciones por inactividad si los validadores se desconectan en los próximos días para reducir el riesgo de penalizaciones de la red. Esto se debe a que una salida retira a los validadores del conjunto activo de Ethereum, donde dejan de realizar sus funciones y ganar recompensas hasta que vuelvan a entrar. Los validadores relevantes ya han comenzado el proceso de salida, y se espera que los últimos hayan salido —aunque no completamente retirado su stake— para el cierre del 7 de octubre.
Ni MetaMask ni Lido dijeron si los validadores que MetaMask opera en otros lugares están involucrados. Lido describió las salidas como una de varias medidas de precaución tomadas tras el compromiso de la infraestructura.
Devolver el ETH tomará considerablymente más tiempo. Lido dijo que el stake retirado debería regresar gradualmente al protocolo a medida que los validadores completen el ciclo de salida, ret y reingreso. El proceso de ida y vuelta podría tardar hasta 45 días debido a la extensa cola de entrada de Ethereum.
Ambas compañías enfatizaron que el acuerdo de staking es no custodial y que MetaMask no posee las claves de retiro de los activos en stake de los clientes. Lido dijo que los poseedores de su token de liquid staking, stETH, no necesitan tomar ninguna acción. También señaló su red distribuida de operadores de nodos y un fondo de reserva ad hoc que contiene más de 6,750 stETH como amortiguadores contra disrupciones.
Un análisis independiente en cadena, que ninguna de las compañías ha confirmado, ofreció una indicación de la cantidad que podría haber sido tomada. El investigador Kaden dijo que 19 validadores de MetaMask habían ganado recompensas de bloque y que 18 de esos pagos fueron dirigidos a una dirección financiada a través del mixer Tornado Cash en lugar del destinatario correcto de comisiones. Los pagos ascendieron aproximadamente a 0.36 ETH, con un valor inferior a 1,000 dólares a los precios actuales.
Según el mismo análisis, unos 17,000 validadores que mantienen aproximadamente 523,000 ETH, valorados en alrededor de 1,400 millones de dólares, están siendo retirados como medida de precaución. Ethereum limita cada validador a 32 ETH, razón por la cual una salida masiva de esta escala abarca miles de cuentas de validadores individuales. El investigador dijo que 821 validadores potencialmente afectados aún estaban por salir. Siguió sin estar claro si el atacante pudo alterar los destinatarios de comisiones en todo el conjunto.
Kaden dijo que el atacante "probablemente nunca tuvo la capacidad" de retirar el ETH en stake. Sin embargo, en principio los validadores podrían ser deliberadamente slashed —la penalización del protocolo de Ethereum, que quema parte del stake de un validador cuando viola de forma demostrable las reglas de la red— dependiendo de cómo se obtuvo el acceso de firma.
El fundador de Aave, Stani Kulechov, dijo que el protocolo de préstamos estaba monitoreando la situación junto con Lido y que no hubo impacto en los mercados de Aave. stETH es una de las formas de colateral más utilizadas en la plataforma, una medida de lo profundamente incrustado que está el token en los préstamos descentralizados y de la razón por la cual protocolos más allá de Lido actuaron rápidamente para revisar su propia exposición.
El fundador de Ethena, Guy Young, dijo que los activos de respaldo del dólar sintético USDe actualmente no incluían exposición directa a stETH ni a ningún otro token de liquid staking, y que no esperaba impacto.
El incidente es el segundo episodio similar que involucra a un gran operador de Lido en poco más de un año. Kiln retiró todos sus validadores de Ethereum en septiembre de 2025 después de identificar lo que su director ejecutivo describió como un posible compromiso de su infraestructura. Esto siguió a un incidente de Solana que involucró a SwissBorg varios días antes.
Ninguna de las compañías ha revelado qué fue comprometido, cómo ocurrió el compromiso ni quién fue el responsable. Una investigación completa está en curso, y ambas compañías han prometido más actualizaciones. Los próximos hitos visibles son la finalización de las salidas el 7 de octubre y el retorno gradual del stake retirado en las semanas siguientes.
Fuente: Decrypt
