MetaMask afferma di non aver trovato indicazioni che i wallet degli utenti o i fondi dei clienti abbiano fronteggiato una minaccia imminente, ribadendo nel suo ultimo aggiornamento sulla sicurezza che resta concentrata sulle fasi di "contenimento e verifica". Parallelamente, la società ha proseguito la rimozione precauzionale dei propri validator Ethereum dal protocollo di staking Lido.

Nessuna minaccia immediata per i wallet

Sebbene l'aggiornamento successivo non sia entrato nel dettaglio dell'incidente di sicurezza, MetaMask ha dichiarato di non aver riscontrato alcuna indicazione che i fondi dei clienti siano stati accessi, sulla base delle indagini condotte fino al 1° ottobre, come indicato nel suo aggiornamento agli utenti.

Il servizio di staking di MetaMask è non-custodial, il che significa che non detiene alcuna chiave di prelievo per lo staking che gestisce per conto dei clienti.

MetaMask Staking, precedentemente noto come Consensys Staking, gestisce validator all'interno di Lido, il più grande protocollo di liquid staking su Ethereum, e ha provveduto a portare tali validator offline per precauzione. Nemmeno Lido ha specificato la natura dell'exploit. Tuttavia, un post sul forum di governance ha rassicurato i possessori di stETH che non è richiesta alcuna azione da parte loro. stETH è il token di liquid staking emesso da Lido ai partecipanti, che rappresenta il loro Ether in staking mentre i fondi sottostanti restano bloccati nei validator del protocollo.

I validator coinvolti sono già nella exit queue, con l'ultimo atteso in uscita — sebbene non interamente prelevato — entro la fine del 7 ottobre. Il reinserimento di quell'Ether prelevato nelle posizioni di validator attive richiederà almeno altri 27 giorni e 18 ore, secondo la exit queue dei validator Ethereum. L'attesa riflette la progettazione di Ethereum, che regola uscite e prelievi dei validator tramite code che limitano quanti possano essere elaborati contemporaneamente — un motivo per cui anche un'uscita di routine e precauzionale può lasciare i fondi in staking bloccati per settimane.

Un primo test di stress per una MetaMask appena resasi indipendente

L'incidente arriva a poco meno di tre settimane dal momento in cui MetaMask è diventata una società indipendente. Un annuncio del 9 settembre aveva confermato la separazione tra il business del wallet per consumatori, MetaMask, e il ramo protocols e istituzionale, Consensys. Cryptopolitan riportava all'epoca che la separazione sarebbe stata finalizzata entro la fine dell'anno.

MetaMask si presenta come la più grande piattaforma finanziaria self-custodial al mondo, scaricata oltre 100 milioni di volte in circa 190 paesi e con trilioni di dollari di volume di transazioni cumulativo.

L'episodio ricorda settembre 2025, quando la piattaforma di staking Kiln ha effettuato la propria "uscita ordinata" dai validator Ethereum dopo che un'API fornita dalla società era stata sfruttata nell'attacco da circa 40 milioni di dollari ai danni di SwissBorg. Come MetaMask ora, anche Kiln aveva assicurato che gli asset dei clienti erano al sicuro.

MetaMask non ha detto se i validator che gestisce al di fuori di Lido siano coinvolti nell'attuale incidente, e né la società né Lido hanno dettagliato la natura del compromesso. MetaMask afferma che condividerà ulteriori informazioni verificate non appena disponibili. Per chi segue la situazione, i riferimenti visibili da monitorare sono lo svuotamento della exit queue entro la fine del 7 ottobre e gli eventuali aggiornamenti verificati che MetaMask pubblicherà tramite i suoi canali ufficiali.

Nel frattempo, la società ha ricordato agli utenti di non condividere la propria Secret Recovery Phrase o le chiavi private con chiunque, esortando alla cautela rispetto a qualsiasi comunicazione che non provenga direttamente dai suoi canali ufficiali.