MetaMask afirma que no ha encontrado indicios de que las billeteras de los usuarios o los fondos de los clientes enfrenten alguna amenaza inminente, reiterando en su última actualización de seguridad que mantiene el enfoque en las medidas de "contención y verificación". En paralelo, la empresa continuó la retirada preventiva de sus validadores de Ethereum del protocolo de staking de Lido.

No hay amenaza inmediata para las billeteras

Aunque la actualización de seguimiento no entró en detalles sobre el incidente de seguridad, MetaMask señaló que no ha visto indicios de que los fondos de los clientes hayan sido accedidos, según sus investigaciones hasta el 1 de octubre, de acuerdo con su actualización para usuarios.

El servicio de staking de MetaMask es no custodial, lo que significa que no conserva ninguna clave de retiro del staking que opera en nombre de sus clientes.

MetaMask Staking, anteriormente conocida como Consensys Staking, opera validadores dentro de Lido, el mayor protocolo de staking líquido de Ethereum, y ha estado desconectando esos validadores como medida de precaución. Lido tampoco ha especificado el exploit. Sin embargo, una publicación en el foro de gobernanza aseguró a los tenedores de stETH que no necesitan tomar ninguna acción. stETH es el token de staking líquido que Lido emite a los participantes, representando su Ether en staking mientras los fondos subyacentes permanecen bloqueados en los validadores del protocolo.

Los validadores afectados ya están en la cola de salida, y se espera que el último salga —aunque no completamente retirado— antes del final del 7 de octubre. Devolver ese Ether retirado a posiciones activas de validador tomará al menos otros 27 días y 18 horas, según la cola de validadores de Ethereum. La espera refleja el diseño de Ethereum, que regula las salidas y los retiros de validadores mediante colas que limitan cuántos pueden procesarse a la vez, una de las razones por las que incluso una salida de rutina y preventiva puede dejar los fondos en staking bloqueados durante semanas.

Una primera prueba de estrés para una MetaMask recién independiente

El incidente ocurre apenas tres semanas después de que MetaMask se convirtiera en una empresa independiente. Un anuncio del 9 de septiembre confirmó la división entre el negocio de billeteras para consumidores, MetaMask, y la división de protocolos e institucional, Consensys. Cryptopolitan informó en ese momento que la separación se concretará antes de fin de año.

MetaMask se posiciona como la mayor plataforma financiera autocustodial del mundo, con más de 100 millones de descargas en aproximadamente 190 países y billones de dólares en volumen acumulado de transacciones.

El episodio recuerda a septiembre de 2025, cuando la plataforma de staking Kiln llevó a cabo su propia "salida ordenada" de los validadores de Ethereum después de que una API que proporcionaba fuera explotada en el fraude de SwissBorg de aproximadamente 40 millones de dólares. Al igual que MetaMask ahora, Kiln también insistió en que los activos de sus clientes estaban seguros.

MetaMask no ha dicho si los validadores que opera fuera de Lido están involucrados en el incidente actual, y ni la empresa ni Lido han detallado la naturaleza del compromiso. MetaMask dice que compartirá más información verificada a medida que esté disponible. Para quienes siguen la situación, los hitos visibles por delante son la liberación de la cola de salida antes del final del 7 de octubre y cualquier actualización verificada que MetaMask publique a través de sus canales oficiales.

Mientras tanto, la empresa recordó a los usuarios no compartir su Frase de Recuperación Secreta ni sus claves privadas con nadie, y urgió a tener precaución con cualquier comunicación que no provenga directamente de sus canales oficiales.