Il fondatore di ConsenSys Joseph Lubin ha rassicurato gli utenti di MetaMask sul fatto che non vi è alcuna indicazione che il recente attacco informatico all'azienda abbia coinvolto il sistema di wallet MetaMask stesso, confermando che i wallet degli utenti e le chiavi private restano completamente al sicuro.

L'aggiornamento arriva dopo che MetaMask ha reso noto il 30 settembre che parte della sua infrastruttura era stata coinvolta in un incidente di sicurezza. MetaMask è il wallet non-custodiale sviluppato da ConsenSys, un modello in cui sono gli utenti — non l'azienda — a detenere le credenziali che controllano i loro fondi.

In un post su X (https://x.com/ethereumJoseph/status/210616220729802928?s=20), Lubin ha assicurato ai clienti: "La tua Secret Recovery Phrase, le tue chiavi e gli asset nel tuo wallet non hanno fatto parte di questo incidente perché NON POSSONO esserne parte. Tu custodisci e controlli le tue chiavi. È così che funziona l'auto-custodia."

Quando la violazione è stata scoperta giovedì, MetaMask ha temporaneamente spento alcune macchine di staking Ethereum che gestisce per conto dei clienti. Già in quella fase, l'azienda ha indicato di non aver rilevato alcuna "minaccia immediata" ai wallet dei clienti.

Lubin dichiara che le chiavi dei validator sono state ruotate

Nel suo post su X, Lubin ha spiegato perché ci ha messo del tempo ad affrontare pubblicamente l'incidente. Ha osservato che MetaMask limita i commenti pubblici mentre un'indagine è ancora in corso, ma avverte i partner principali e gli stakeholder interessati una volta che il problema è stato pienamente diagnosticato.

Ha sostenuto che i fondi dei clienti sono rimasti al sicuro perché l'azienda opera con un modello di auto-custodia, il che significa che gli utenti mantengono il controllo completo dei propri fondi.

Lubin ha inoltre riferito che l'azienda ha ruotato le chiavi dei propri validator, pur riconoscendo uno svantaggio: i validator devono uscire dalla coda di staking e rientrare per poter mettere di nuovo in staking — un processo che può richiedere molto tempo. Ethereum prevede code di ingresso e di uscita nel proprio protocollo per regolamentare la velocità con cui i validator possono lasciare e rientrare nella rete, e i tempi di attesa si allungano quando un gran numero di validator si muove contemporaneamente.

L'azienda ha inoltre spento alcune delle sue macchine di staking. L, un importante protocollo di staking, aveva in precedenza osservato che, se da un lato l'arresto aiuta a proteggere le monete in staking, dall'altro comporta un costo. I validator gestiti da MetaMask hanno iniziato a lasciare il sistema, e i validator rimanenti dovrebbero interrompere lo staking entro il 7 ottobre.

I validator di MetaMask hanno avviato un processo di uscita che si conclude il 7 ottobre. Il prelievo dell'ETH potrebbe richiedere circa 45 giorni. Inoltre, lo svuotamento della successiva coda d'ingresso di Ethereum di 45 giorni significa che gli asset rischiano una prolungata inattività, perdono le rese standard e sono esposti a penalità se messi offline.

Cosa significa l'incidente per gli utenti di MetaMask

La distinzione tra l'infrastruttura di MetaMask e i wallet in auto-custodia degli utenti è cruciale per valutare l'impatto dell'incidente. MetaMask consente agli utenti di controllare le proprie chiavi private e le proprie Secret Recovery Phrase invece di custodirle per loro conto. Un attacco a parte dell'infrastruttura di ConsenSys non dà quindi automaticamente a un attaccante l'accesso ai fondi conservati nei wallet degli utenti. Questo si contrappone ai servizi custodiali, in cui un fornitore detiene le chiavi per conto dei clienti e una violazione riuscita del fornitore può esporre direttamente i fondi degli utenti.

Tuttavia, l'attacco ha di nuovo evidenziato i rischi che interessano l'infrastruttura a supporto dei servizi crypto. MetaMask lavora con validator Ethereum e altra infrastruttura blockchain, il che significa che un compromissione può disturbare le operazioni anche quando chiavi e asset dei clienti restano fuori dalla portata dell'attaccante.

MetaMask ha inoltre avvertito gli utenti di prestare attenzione ai tentativi di phishing a seguito dell'incidente, sottolineando che gli utenti non devono mai condividere la propria Secret Recovery Phrase o le proprie chiavi private con chiunque affermi di offrire supporto. Poiché Lubin ha detto che l'azienda limita i commenti pubblici mentre l'indagine è ancora aperta, i canali ufficiali di MetaMask rappresentano la fonte affidabile per gli aggiornamenti man mano che la diagnosi prosegue.

MetaMask ha affrontato un altro rischio di sicurezza quest'anno

L'incidente dell'infrastruttura arriva poco dopo un altro episodio di sicurezza di alto profilo per ConsenSys. Nel luglio 2026 è emerso che uno sviluppatore software legato alla Corea del Nord aveva lavorato per circa un mese all'interno di MetaMask, senza che ConsenSys fosse minimamente a conosc della vera identità dello sviluppatore.

Usando lo pseudonimo 'Tyler Knapp', l'operativo si è assicurato un ruolo di consulenza e ha integrato con successo codice in funzioni critiche del wallet che gestivano il bridging da valuta tradizionale a crypto. ConsenSys ha revocato il suo accesso al backend alla scoperta e ha confermato che nessun fondo era stato rubato.

L'accesso dell'operativo è durato dal 9 marzo fino al licenziamento avvenuto ad aprile — una finestra di diverse settimane che ha allarmato gli analisti di cybersecurity. Secondo la società di intelligence blockchain TRM Labs, colpire gli ambienti di sviluppo è diventato il metodo più rapido per gli avversari per carpire le chiavi private di un'azienda crypto e infiltrarsi nelle pipeline di approvazione dei prelievi.

Dopo la scoperta della violazione in aprile, ConsenSys ha immediatamente informato le forze dell'ordine federali e ha avviato una revisione completa dei propri protocolli verifica dei precedenti dei collaboratori esterni. "Abbiamo scoperto la minaccia… e avviato un'indagine completa che ha confermato non esservisi stati appropriamenti indebiti di asset o dati, nessun codice malevolo distribuito e nessun impatto sulla sicurezza degli utenti", ha osservato Matt Corva, consulente legale generale di ConsenSys.

La violazione è tutt'altro che un episodio isolato. Gli operativi nordcoreani sponsorizzati dallo Stato si spessissimo fingono ingegneri qualificati per ottenere ruoli remoti, sfruttando il proprio accesso per esfiltrare dati proprietari o installare backdoor.

I ricercatori del Ketman Project, finanziato da Ethereum, avevano segnalato 100 presunti lavoratori IT nordcoreani che erano riusciti a penetrare 53 diverse piattaforme crypto. Questi operativi generalmente usano documenti d'identità falsi e profili finti di recruiter per aggirare i controlli delle risorse umane, avvalendosi occasionalmente di cittadini statunitensi — alcuni dei quali sono stati poi incarcerati — per occultare le ubicazioni fisiche e digitali degli operativi.