MetaMask indique n'avoir trouvé aucune indication que les portefeuilles des utilisateurs ou les fonds des clients soient confrontés à une menace imminente, réaffirmant dans sa dernière mise à jour de sécurité qu'elle reste concentrée sur les étapes de « confinement et de vérification ». Parallèlement, l'entreprise a poursuivi le retrait préventif de ses validateurs Ethereum du protocole de staking Lido.

Aucune menace immédiate pesant sur les portefeuilles

Bien que la mise à jour de suivi n'entre pas dans les détails de l'incident de sécurité, MetaMask a déclaré n'avoir constaté aucune indication d'accès aux fonds des clients, sur la base de ses enquêtes menées jusqu'au 1er octobre, selon sa mise à jour destinée aux utilisateurs.

Le service de staking de MetaMask est non custodial, ce qui signifie qu'il ne détient aucune clé de retrait pour le staking qu'il opère pour le compte de ses clients.

MetaMask Staking, anciennement connu sous le nom de Consensys Staking, opère des validateurs au sein de Lido, le plus grand protocole de liquid staking Ethereum, et les retire de la ligne par précaution. Lido n'a pas non plus précisé la nature de l'exploitation. Cependant, une publication sur le forum de gouvernance a assuré aux détenteurs de stETH qu'aucune action n'était requise de leur part. Le stETH est le jeton de liquid staking émis par Lido aux participants, représentant leur Ether mis en staking tandis que les fonds sous-jacents restent verrouillés dans les validateurs du protocole.

Les validateurs concernés sont déjà dans la file de sortie, le dernier devant sortir — sans pour autant être entièrement retiré — d'ici la fin du 7 octobre. Le retour de cet Ether retiré vers des positions actives de validateurs prendra au moins 27 jours et 18 heures supplémentaires, selon la file d'attente des validateurs Ethereum. Cette attente reflète la conception d'Ethereum, qui régule les sorties et les retraits de validateurs via des files d'attente limitant le nombre de traitements simultanés — raison pour laquelle même une sortie de routine, à titre préventif, peut laisser des fonds mis en staking verrouillés pendant des semaines.

Un premier test de résistance pour un MetaMask fraîchement indépendant

L'incident survient à peine trois semaines après que MetaMask soit devenu une société indépendante. Une annonce du 9 septembre a confirmé la scission entre l'activité de portefeuille grand public, MetaMask, et la branche protocoles et institutionnelle, Consensys. Cryptopolitan rapportait à l'époque que la séparation devait être finalisée d'ici la fin de l'année.

MetaMask se positionne comme la plus grande plateforme financière autogérée au monde, téléchargée plus de 100 millions de fois dans environ 190 pays et traitant des milliers de milliards dollars de volume de transactions cumulé.

Cet épisode rappelle septembre 2025, lorsque la plateforme de staking Kiln avait procédé à sa propre « sortie ordonnée » des validateurs Ethereum après que l'une de ses API avait été exploitée dans le cadre de la violation de SwissBorg d'environ 40 millions de dollars. Comme MetaMask aujourd'hui, Kiln avait également insisté sur la sécurité des actifs de ses clients.

MetaMask n'a pas précisé si les validateurs qu'elle opère en dehors de Lido sont concernés par l'incident en cours, et ni l'entreprise ni Lido n'ont détaillé la nature de la compromission. MetaMask indique qu'elle partagera davantage d'informations vérifiées dès qu'elles seront disponibles. Pour ceux qui suivent la situation, les jalons visibles à venir sont le dégagement de la file de sortie d'ici la fin du 7 octobre et toute mise à jour vérifiée que MetaMask publiera via ses canaux officiels.

En attendant, l'entreprise a rappelé aux utilisateurs de ne partager ni leur phrase de récupération secrète ni leurs clés privées avec quiconque, et a appelé à la vigilance face à toute communication ne provenant pas directement de ses canaux officiels.