Consensysが開発する自己管理型暗号資産ウォレットMetaMaskは、インフラの一部に影響するセキュリティインシデントに対応していることを確認し、現時点でMetaMaskウォレットへの即時の脅威は確認されていないと発表しました。同社は公開されたセキュリティアップデートで状況を明らかにし、クライアント、外部パートナー、セキュリティアドバイザーと連携して対応を進めていると述べました。

当初の発表は次のとおりです。「我々はインフラの一部に影響するセキュリティインシデントに対応しています。現時点で、MetaMaskウォレットへの即時の脅威は確認されていません。予防措置として、クライアント、パートナー、セキュリティアドバイザーと連携し、ノンカストディアル型ステーキング事業において影響を受けたバリデータを先制的に退出させています。今後、適切なタイミングで追加情報を共有します。」

Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask (@MetaMask) 2026年9月30日

予防的なバリデータ退出

予防措置として、MetaMaskはノンカストディアル型ステーキング事業に関わる影響を受けたバリデータの退出を進めています。同社は、ステーキングサービスがノンカストディアル型であり、MetaMaskはクライアントに代わって引き出し鍵を管理していないことを強調しました。この仕組みにより、ユーザーのウォレット鍵はMetaMaskの管理外に置かれているため、本インシデントはユーザー自身の鍵情報ではなく、同社が運用するバリデータ事業に関わるものです。Ethereumのステーキングにおいて、退出とはバリデータを稼働状態から外し、ブロック生成を終了させ、ステークされたETHが引き出しまでネットワークのキューで待機することを意味し、業者がエクスポージャーを限定するために用いる封じ込め措置です。

オンチェーンで判明した事件の推移

オンチェーンの観察者は、以下の一連の出来事を突き止めました。10時27分頃、Tornado Cash — 取引の発信元を覆い隠すために設計されたプライバシーミキサー — を経由した0.1 ETHの出金によって資金供給された、新たに作成された外部所有アカウントが資金を受け取りました。MetaMaskおよびConsensysに関連するバリデータの退出は11時頃に始まりました。

Ethereumのプロトコルでは、バリデータは提案したブロックに対して報酬を得て、支払いは事業者が指定したアドレスに送られます。12時12分から16時46分の間に、このアドレスはMetaMask運用のバリデータ — Consensysが運用する11件のLidoバリデータ、5件のクライアントバリデータ、EthFoxVaultに関連する2件のバリデータからなるグループ — が提案した18ブロックから合計約0.36 ETHのブロック報酬を回収しました。12時42分にConsensysは400個の未使用のLido鍵を削除し、16時46分以降、報酬は本来の受取人に戻ったと伝えられています。

また、分散型レンディングプロトコルAaveは、万一に備えてV3市場を凍結する準備をしていたと伝えられていますが、最終的には実行されませんでした。

Lidoの退出プロセスが進行中、コミュニティでは憶測が続く

予防的な退出は、Ethereumにおける主要なリキッドステーキングプロトコルであるLidoにも及んでいます。Lidoは、MetaMask Staking(旧Consensys Staking)がインフラ侵害を受けたことを受けて予防措置として、Ethereumバリデータのプロトコルからの退出を開始したことを確認しました。退出プロセスはすでに開始されており、最後のバリデータも2026年10月7日までには退出を完了する見込みですが、引き出しはまだ完了していません。Lidoは、ネットワークペナルティ関連のリスクを低減するためにバリデータがオフラインにされた場合、報酬の喪失やダウンタイムによるペナルティが発生する可能性があると指摘しています。

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) 2026年9月30日

stETH保有者は対応を行う必要はありません。stETHはステークされたETHを表すLidoのリキッドステーキングトークンです。MetaMask運用のバリデータから引き出されたETHは、バリデータが退出・引き出し・再参加のサイクルを完了するにつれて徐々にプロトコルへ戻ると見込まれており、参加キューの滞留が長引いているため、このプロセスには最大45日かかると推定されています。Lidoはまた、プロトコルの多様化されたノードオペレーター構成と、6,750 stETHを超える準備金を、混乱を封じ込め緩和するために設計された保護策として挙げています。

セキュリティ専門家が憶測に論

これまでに明らかにされた限られた情報により、暗号資産コミュニティ内で憶測が広がっています。Andyとして知られるポッドキャスターは、証拠を示さないまま、今回のインシデントが公に知られているより深刻である可能性があり、Ethereum供給量のわずかな割合が単一のリキッドステーキング事業者を通じて事実上オンチェーンで固定されている可能性があると主張しました。コミュニティメンバーのNick O'Neilも、MetaMaskが先回りしてインシデントを公表した可能性があると推測しましたが、こちらも裏付けは示されていません。

Rumor mill saying the Metamask exploit could be far worse than people are expecting, with a small % of the Ethereum supply being 'held hostage' onchain from a single liquid staking provider. More to come as we learn more from our sources, but hoping it's a nothing burger. — Andy (@andyyy) 2026年10月1日

MetaMaskの元従業員でセキュリティ専門家のTaylor Monahanは、こうした解釈に反論し、同社の対応は不審な活動の検知、潜在的な脅威の除去、影響を受けたインフラの先制的なローテーションという標準的なインシデント対応の一連の手順であると述べました。彼女は、脅威を検知、開示、緩和する組織は、自社システムへの侵害に気づいていない組織よりもリスクが低いと見なされるべきだと主張しました。

lmao no offense but this is a truly crackhead set of assumptions stung together. i assume you're not super security focused and stuff but if you ask grok or claude or chatgpt they can help you understand the realistic risk and explain it to you like youre 5. this assumes you… — Tay (@tayvano_) 2026年10月1日

Lubin関連ウォレットの送金が注目を集める

コミュニティの議論に拍車をかけた出来事として、オンチェーン分析企業Lookonchainは、Ethereum共同創設者でConsensys CEOのJoseph Lubinに関連するウォレットが、インシデント公表の数時間前に133,298 ETH — 約3億5,620万ドル相当 — を新しいアドレスへ送金したことを観測しました。

A wallet linked to #Ethereum co-founder Joseph Lubin( @ethereumJoseph ) transferred 133,298 $ETH ($356.2M) to a new wallet 5 hours ago. pic.twitter.com/MInJPam0s6 — Lookonchain (@lookonchain) 2026年10月1日

ただし、この送金とMetaMaskのセキュリティインシデントとの間に確定した関連は確認されていません。なお、Consensysは9月に、コンシューマー事業と機関投資家向け事業をそれぞれ独立して運営される2社に分割すると発表していました。

本インシデントに関する全面的な調査が進行中であり、MetaMaskから追加情報が判明次第発表される見込みです。注目すべき当面の指標としては、Lidoバリデータ退出完了の2026年10月7日の目標、最大45日のサイクルで引き出されたETHがプロトコルへ再参加するペース、およびMetaMaskが調査から公表する今後の開示内容が挙げられます。

本記事はMetaverse Postの報道に基づいています。