MetaMaskはインフラの一部に影響する「進行中のセキュリティインシデント」に対応しており、両社が水曜日に発表したところによると、予防措置としてLidoを通じて運用するイーサリアムのバリデータの撤退を開始しました。

同ウォレット開発企業は、「MetaMaskウォレットへの即時の脅威は確認されていない」と述べました。同社は外部パートナーやセキュリティアドバイザーとともに社内で問題の調査と改善を進めながら、ノンカストディアルのステーキング運用内で影響を受けたバリデータを撤退させ、クライアントやパートナーと調整を行っています。

Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask 🦊 (@MetaMask) September 30, 2026

https://x.com/MetaMask/status/2105442300335620460?ref_src=twsrc%5Etfw

MetaMask Staking(旧Consensys Staking)は、イーサリアム最大のリキッドステーキングプロトコルであるLido上でバリデータを運用しています。リキッドステーキングにより、ユーザーは自身でバリデータを運用することなくETHをステークし、その見返りにトークンを受け取ることができます。Lidoの場合はstETHであり、この構造は個々のノードオペレーターのセキュリティを分散型金融全体で使用される資産に直接結び付けています。Lidoは、ガバナンスフォーラムに投稿されたセキュリティ通知で今回の撤退を公表し、原因を調査中のインフラ侵害と説明しました。

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) September 30, 2026

https://twitter.com/LidoFinance/status/2105443679905235344

Lidoは、今回の措置により報酬の逸失が生じる可能性が高く、ネットワーク罰則のリスクを低減するために今後数日でバリデータがオフラインになった場合にはダウンタイム罰則が発生する可能性があると述べました。これは、撤退によりバリデータがイーサリアムのアクティブセット除外され、再参加するまで業務の遂行と報酬の獲得が停止するためです。該当するバリデータはすでに撤退プロセスを開始しており、最後のバリデータも完全な引き出しには至らないものの、10月7日末までに撤退が完了する見込みです。

MetaMaskとLidoのいずれも、MetaMaskが他で運用するバリデータが関わっているかどうかについては言及していません。Lidoは、今回の撤退をインフラ侵害後に行われた複数の予防措置の一つと説明しています。

ETHの返還にはさらに時間がかかります。Lidoは、撤退したステークはバリデータが撤退・引き出し・再参加のサイクルを完了するにつれてプロトコルに徐々に戻ると述べました。イーサリアムの拡大した入場キューのため、この一連のプロセスには最大45日かかる可能性があります。

両社は、ステーキングの仕組みはノンカストディアルであり、MetaMaskはクライアントのステーク資産の引き出し鍵を保有していないことを強調しました。Lidoは、リキッドステーキングトークンstETHの保有者は対応を取る必要がないと述べ、分散化されたノードオペレーターのネットワークと、6,750 stETHを超える臨時準備基金を、混乱に対する緩衝策として挙げました。

両社が確認していない独立系のオンチェーン分析は、流出した可能性のある金額の一端を示しています。リサーチャーのKaden氏は、19のMetaMaskバリデータがブロック報酬を獲得し、そのうち18件の支払いが正しい手数料受取先ではなく、Tornado Cashミキサーを通じて資金供給されたアドレスに送金されたと述べました。これらの支払いは合計約0.36 ETHで、現在の価格では1,000ドル未満に相当します。

同じ分析によると、約52万3000 ETH(約14億ドル相当)を保有する約1万7000のバリデータが予防措置として撤退中です。イーサリアムではバリデータ1つあたり最大32 ETHに制限されているため、この規模の大量撤退は数千の個別バリデータアカウントに及びます。リサーチャーは、影響を受けている可能性のある821のバリデータがまだ撤退していないと述べました。攻撃者が全セットの手数料受取先を変更できたかどうかは依然として不明です。

Kaden氏は、攻撃者はステークされたETHを引き出すことは「おそらくできなかった」と述べました。ただし、署名アクセスがどのように取得されたかによっては、バリデータが意図的にスラッシング(イーサリアムのプロトコル罰則で、ネットワークルールに明白に違反した場合にバリデータのステークの一部が焼却される)される可能性は理論上あります。

Aaveの創設者Stani Kulechov氏は、レンディングプロトコルがLidoとともに状況を監視しており、Aaveマーケットへの影響はないと述べました。stETHは同プラットフォームで最も広く使用されている担保形態の一つであり、このトークンが分散型レンディングに深く組みまれていること、そしてLido以外のプロトコルが自社のエクスポージャーを迅速に確認した理由を示しています。

Ethenaの創設者Guy Young氏は、USDeシンセティックドルの裏付け資産には現在、stETHやその他のリキッドステーキングトークンへの直接的なエクスポージャーは含まれておらず、影響はないと見込まれると述べました。

このインシデントは、主要なLidoオペレーターに関わる類似の事例として、1年余りの間に2件目です。Kilnは2025年9月、経営トップが「インフラの潜在的な侵害」と表現した問題を特定した後、運用するすべてのイーサリアムバリデータを撤退させました。その数日前には、SwissBorgに関わるSolanaのインシデントが発生していました。

両社とも、何が侵害されたのか、どのように、誰によるものかは明らかにしていません。現在、全面的な調査が進行中であり、両社は追加の更新を約束しています。次に注目される節目は、10月7日までの撤退完了と、その後数週間にわたる撤退済みステークの段階的な返還です。

ソース: Decrypt