MetaMask retire ses validateurs de Lido après un incident de sécurité touchant son infrastructure
Points clés
- •MetaMask a commencé à retirer par précaution les validateurs Ethereum qu'elle opère via Lido après un incident de sécurité dans son infrastructure, avec environ 17 000 validateurs détenant près de 523 000 ETH, d'une valeur d'environ 1,4 milliard de dollars, en cours de sortie.
- •MetaMask a indiqué n'avoir identifié aucune menace immédiate pour ses wallets, et les deux entreprises ont souligné que le dispositif de staking est non custodial, MetaMask ne détenant pas les clés de retrait des clients. Les sorties, attendues pour être terminées d'ici la fin du 7 octobre, entraîneront probablement des récompenses perdues et d'éventuelles pénalités de temps d'arrêt, et le stake retourné pourrait prendre jusqu'à 45 jours à traverser la file d'entrée d'Ethereum.
- •Une analyse on-chain non confirmée par le chercheur Kaden a indiqué que 18 paiements de récompenses de bloc totalisant environ 0,36 ETH, d'une valeur inférieure à 1 000 dollars, avaient été redirigés vers une adresse financée via Tornado Cash, bien que l'attaquant n'aitment jamais eu la capacité de retirer les ETH mis en stake.
- •Aave et Ethena ne rapportent aucun impact de l'incident, qui constitue la deuxième compromission impliquant un opérateur majeur de Lido en un peu plus d'un an, après les sorties de validateurs de Kiln en septembre 2025.
MetaMask répond à un « incident de sécurité en cours » touchant une partie de son infrastructure et a commencé à retirer par précaution les validateurs Ethereum qu'elle opère via Lido, ont indiqué les deux entreprises mercredi.
Le développeur du wallet a déclaré avoir identifié « aucune menace immédiate pour les wallets MetaMask ». Il enquête et remédie au problème en interne avec des partenaires externes et des conseillers en sécurité, tout en sortant les validateurs concernés dans le cadre de ses opérations de staking non custodial, en coordination avec ses clients et partenaires.
Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask 🦊 (@MetaMask) September 30, 2026
https://x.com/MetaMask/status/2105442300335620460?ref_src=twsrc%5Etfw
MetaMask Staking, anciennement Consensys Staking, exploite des validateurs sur Lido, le plus grand protocole de staking liquide d'Ethereum. Le staking liquide permet aux utilisateurs de staker des ETH sans faire tourner leurs propres validateurs et de recevoir un token en retour — dans le cas de Lido, le stETH — une structure qui lie directement la sécurité des opérateurs de nœuds individuels aux actifs utilisés dans l'ensemble de la finance décentralisée. Lido a révélé les sorties dans une note de sécurité publiée sur son forum de gouvernance, décrivant la cause comme une compromission d'infrastructure en cours d'investigation.
Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) September 30, 2026
Lido a indiqué que cette mesure entraînerait probablement des récompenses perdues et pourrait conduire à des pénalités de temps d'arrêt si les validateurs passent hors ligne dans les prochains jours afin de réduire le risque de pénalités du réseau. Cela s'explique par le fait qu'une sortie retire les validateurs de l'ensemble actif d'Ethereum, où ils cessent d'exécuter leurs tâches et de gagner des récompenses jusqu'à leur réintégration. Les validateurs concernés ont commencé le processus de sortie, et les derniers devraient être sortis — sans être entièrement retirés — d'ici la fin du 7 octobre.
Ni MetaMask ni Lido n'ont précisé si les validateurs exploités par MetaMask ailleurs sont concernés. Lido a décrit les sorties comme l'une des plusieurs mesures de précaution prises après la compromission de l'infrastructure.
Le retour des ETH prendra considérablement plus de temps. Lido a indiqué que le stake sorti devrait revenir progressivement au protocole à mesure que les validateurs complètent le cycle de sortie, de retrait et de réintégration. L'aller-retour pourrait prendre jusqu'à 45 jours en raison de la file d'entrée étendue d'Ethereum.
Les deux entreprises ont souligné que le dispositif de staking est non custodial que MetaMask ne détient pas les clés de retrait des actifs mis en stake par ses clients. Lido a déclaré que les détenteurs de son token de staking liquide, le stETH, n'ont aucune action à entreprendre. Il a également mis en avant son réseau distribué d'opérateurs de nœuds et un fonds de réserve ad hoc de plus de 6 750 stETH comme amortisseurs contre les perturbations.
Une analyse on-chain indépendante, qu'aucune des deux entreprises n'a confirmée, a donné une indication du montant potentiellement dérobé. Le chercheur Kaden a déclaré que 19 validateurs MetaMask avaient obtenu des récompenses de bloc et que 18 de ces paiements avaient été redirigés vers une adresse financée via le mixeur Tornado Cash au lieu du bon destinataire des frais. Les paiements totalisaient environ 0,36 ETH, d'une valeur inférieure à 1 000 dollars aux prix actuels.
Selon la même analyse, environ 17 000 validateurs détenant approximativement 523 000 ETH, d'une valeur d'environ 1,4 milliard de dollars, sont en cours de sortie par précaution. Ethereum plafonne chaque validateur à 32 ETH, c'est pourquoi une sortie massive de cette ampleur touche des milliers de comptes de validateurs individuels. Le chercheur a indiqué que 821 validateurs potentiellement concernés n'avaient pas encore quitté le réseau. Il restait incertain si l'attaquant pouvait modifier les destinataires des frais sur l'ensemble du parc.
Kaden a déclaré que l'attaquant n'avait « probablement jamais eu la capacité » de retirer les ETH mis en stake. Toutefois, les validateurs pourraient en théorie être délibérément slashés — la pénalité protocolaire d'Ethereum, qui brûle une partie du stake d'un validateur lorsqu'il enfreint de manière prouvée les règles du réseau — selon la manière dont l'accès de signature a été obtenu.
Le fondateur d'Aave, Stani Kulechov, a déclaré que le protocole de prêt surveillait la situation aux côtés de Lido et qu'il n'y avait eu aucun impact sur les marchés d'Aave. Le stETH fait partie des formes de collatéral les plus utilisées sur la plateforme, une mesure de la profondeur de l'intégration du token dans le prêt décentralisé et de la raison pour laquelle des protocoles au-delà de Lido ont rapidement vérifié leur propre exposition.
Le fondateur d'Ethena, Guy Young, a déclaré que les actifs de soutien du dollar synthétique USDe n'incluaient actuellement aucune exposition directe au stETH ni à tout autre token de staking liquide, et qu'il n'attendait aucun impact.
L'incident est le deuxième épisode similaire impliquant un opérateur majeur de Lido en un peu plus d'un an. Kiln avait fait sortir tous ses validateurs Ethereum en septembre 2025 après avoir identifié ce que son dirigeant avait décrit comme une compromission potentielle de son infrastructure. Cela faisait suite à un incident Solana impliquant SwissBorg quelques jours plus tôt.
Aucune des deux entreprises n'a révélé ce qui avait été compromis, comment la compromission s'était produite ou qui en était responsable. Une enquête complète est en cours, et les deux entreprises ont promis des mises à jour supplémentaires. Les prochaines étapes visibles sont l'achèvement des sorties d'ici le 7 octobre et le retour progressif du stake sorti au cours des semaines suivantes.
Source : Decrypt
