MetaMaskは、ユーザーのウォレットや顧客資金に差し迫った脅威が存在することを示す兆候は確認されなかったと述べ、最新のセキュリティアップデートで引き続き「封じ込めと検証」の対応に注力していることを再確認した。並行して同社は、LidoステーキングプロトコルからEthereumバリデータを予防的に撤退させる対応を継続している。

ウォレットへの差し迫った脅威なし

フォローアップのアップデートではセキュリティインシデントの詳細には触れられていないが、ユーザー向けアップデートによると、MetaMaskは10月1日時点までの調査に基づき、顧客資金がアクセスされたことを示す兆候は確認されていないとしている。

MetaMaskのステーキングサービスはノンカストディアル型であり、顧客に代わって運用するステーキングの引き出し鍵を一切保持していない。

MetaMask Staking(旧Consensys Staking)は、最大のEthereumリキッドステーキングプロトコルであるLido内でバリデータを運用しており、予防措置としてこれらのバリデータをオフラインにしている。Lidoもエクスプロイトの詳細を明らかにしていない。ただし、ガバナンスフォーラムへの投稿では、stETHホルダーは対応不要であると説明されている。stETHはLidoが参加者に発行するリキッドステーキングトークンであり、基となる資金がプロトコルのバリデータ内にロックされている間、ステークされたEtherを表すものである。

影響を受けたバリデータはすでに退出キューに入っており、最後のバリデータは完全な引き出しには至らないものの、10月7日までに退出する見込みである。引き出されたEtherがアクティブなバリポジションに戻るまでには、Ethereumバリデータキューによれば、さらに27日と18時間以上かかる。この待機期間は、Ethereumの設計が同時に処理できる数を制限するキューを通じてバリデータの退出と引き出しを調整していることに起因する。そのため、日常的かつ予防的な退出であっても、ステークされた資金が数週間ロックされたままになる可能性がある。

独立企業となったばかりのMetaMaskにとっての初のストレステスト

このインシデントは、MetaMaskが独立企業となってからわずか約3週間後に発生した。9月9日の発表では、コンシューマーウォレット事業のMetaMaskと、プロトコル・機関投資家部門のConsensysへの分社化が確認されている。当時Cryptopolitanが報じたところによると、この分社化は年末までに完了する予定である。

MetaMaskは、約190か国で1億回以上ダウンロードされ、累計取引高が数兆ドル規模に達する、世界最大のセルフカストディアル型金融プラットフォームであると位置づけている。

この事態は、2025年9月、ステーキングプラットフォームのKilnが、提供していたAPIが約4,000万ドルのSwissBorg侵害で悪用されたことを受け、Ethereumバリデータから「秩序ある退出」を実施した事例と呼応するものである。当時のKilnも、現在のMetaMaskと同様に顧客資産は安全であると主張していた。

MetaMaskは、Lido以外で運用しているバリデータが今回のインシデントに巻き込まれているかについては言及しておらず、MetaMaskとLidoのいずれも侵害の性質については詳細を明らかにしていない。MetaMaskは、検証済みの情報が判明次第、追加で共有するとしている。状況を注視する上では、10月7日までの退出キューの解消と、MetaMaskが公式チャネルを通じて発信する検証済みのアップデートが今後の注目ポイントとなる。

その間、同社はシークレットリカバリーフレーズや秘密鍵を誰とも共有しないようユーザーに呼びかけ、公式チャネル以外からの通信には注意するよう促している。