MetaMask informó que está investigando un incidente de seguridad que afecta a parte de su infraestructura y ha comenzado retiros preventivos de validadores de Ethereum afectados, añadiendo que no ha identificado una amenaza inmediata para las billeteras de MetaMask.

El anuncio se realizó el 30 de septiembre, cuando la compañía indicó que trabajaba con socios externos y asesores de seguridad para atender y remediar el problema. Según una actualización para usuarios oficial publicada por MetaMask, la empresa no ha revelado qué sistema fue comprometido, cómo ocurrió el incidente ni si los atacantes obtuvieron acceso a información de clientes.

Retiros de validadores en curso

MetaMask indicó que la medida preventiva afecta a validadores dentro de sus operaciones de staking no custodial. La compañía también subrayó que no gestiona las claves de retiro de los activos en staking de los clientes. En los acuerdos de staking no custodial, el operador del servicio ejecuta la infraestructura de validación en nombre de los usuarios, mientras que estos mantienen el control de las claves necesarias para retirar sus fondos en staking.

Lido, un protocolo de staking líquido en Ethereum, confirmó por separado que MetaMask Staking había comenzado el retiro de validadores de Ethereum operados a través de su protocolo. Se espera que los validadores afectados completen el proceso de retiro antes del 7 de octubre. Un retiro elimina a un validador del conjunto activo de Ethereum, poniendo fin a su participación en las tareas de propuesta de bloques y atestación de la red mientras avanza la investigación.

La medida podría reducir temporalmente las recompensas de staking asociadas a los validadores en proceso de retiro. Lido señaló que el ETH debe pasar por el proceso de retiro y retiro de fondos de Ethereum antes de poder volver al staking. Debido a la cola actual de entrada de validadores, el ciclo completo de retiro, retiro de fondos y reingreso podría tardar hasta unos 45 días; el protocolo de Ethereum limita cuántos validadores pueden entrar o salir de la red en un período determinado, lo que genera estas colas. Los validadores que queden fuera de línea antes de completar su retiro también podrían enfrentar penalizaciones relacionadas con el tiempo de inactividad.

Lo que aún se desconoce

MetaMask no ha revelado el número de validadores afectados ni la cantidad de ETH involucrada. La compañía tampoco ha indicado si el incidente de infraestructura afectó a sistemas más allá de su operación de staking.

Para los usuarios de billeteras, la evaluación actual de MetaMask separa el incidente de infraestructura de la seguridad directa de las billeteras, y la empresa afirma que no ha encontrado una amenaza inmediata para las billeteras mientras continúa la investigación.

MetaMask indicó que seguirá monitoreando la situación y proporcionará actualizaciones adicionales según corresponda. El incidente sigue bajo investigación, con el alcance y la causa técnica del compromiso aún sin resolver. Los indicadores a corto plazo a vigilar son la finalización de los retiros de validadores antes del 7 de octubre y cualquier revelación adicional de MetaMask sobre los hallazgos de la investigación.