MetaMask meldt dat het geen aanwijzingen heeft gevonden dat gebruikerswallets of klantgelden met een dreigend gevaar werden geconfronteerd, en bevestigt in zijn nieuwste beveiligingsupdate dat het zich blijft richten op stappen voor het "indammen en verifiëren". Tegelijkertijd zette het bedrijf het voorzorgsmatige verwijderen van zijn Ethereum-validators uit het Lido staking-protocol voort.

Geen directe dreiging voor wallets

Hoewel de vervolguuidate niet diep inging op het beveiligingsincident, verklaarde MetaMask dat het op basis van zijn onderzoeken tot en met 1 oktober geen aanwijzing heeft gezien dat klantgelden zijn geraadpleegd, aldus de gebruikersupdate van het bedrijf.

De staking-dienst van MetaMask is non-custodial, wat betekent dat het bedrijf geen opnamesleutels bewaart voor de staking die het namens klanten beheert.

MetaMask Staking, voorheen bekend als Consensys Staking, beheert validators binnen Lido, het grootste Ethereum liquid staking-protocol, en heeft die validators als voorzorg offline gehaald. Ook Lido heeft de exploit niet nader gespecificeerd. Een post op het governanceforum verzekerde stETH-houders evenwel dat zij niets hoeven te doen. stETH is het liquid staking-token dat Lido aan deelnemers uitgeeft en dat hun gestakede Ether vertegenwoordigt terwijl de onderliggende fondsen vergrendeld blijven in de validators van het protocol.

De betrokken validators staan al in de exit-wachtrij, waarbij de laatste naar verwachting — zij het niet volledig opgenomen — uiterlijk eind 7 oktober uitstroomt. Het terugplaatsen van die opgenomen Ether naar actieve validatorposities zal nog ten minste 27 dagen en 18 uur duren, volgens de Ethereum validator queue. Die wachttijd volgt uit het ontwerp van Ethereum, dat validator-exits en opnames door wtrijen beperkt tot een maximaal aantal tegelijk — een reden waarom zelfs een routinematige, voorzorgsmatige exit wekenlang vergrendelde inleg kan betekenen.

Een eerste stresstest voor een pas zelfstandig MetaMask

Het incident valt nauwelijks drie weken nadat MetaMask een zelfstandig bedrijf werd. Een aankondiging van 9 september bevestigde de opsplitsing in het consumentenwalletbedrijf MetaMask en de protocols- en institutionele tak Consensys. Cryptopolitan meldde destijds dat de scheiding eind van het jaar definitief wordt afgerond.

MetaMask positioneert zich als het grootste self-custodial financiële platform ter wereld, met meer dan 100 miljoen downloads in ongeveer 190 landen en een cumulatief transactievolume van biljoenen dollars.

Het episode doet denken aan september 2025, toen het staking-platform Kiln zijn eigen "orderly exit" uit Ethereum-validators uitvoerde nadat een door het bedrijf aangeboden API was misbruikt bij de inbraak bij SwissBorg van circa $40 miljoen. Net als MetaMask nu benadrukte ook Kiln destijds dat de middelen van klanten veilig waren.

MetaMask heeft niet gezegd of de validators die het buiten Lido beheert bij het huidige incident betrokken zijn, en noch het bedrijf noch Lido heeft de aard van de inbreuk toegelicht. MetaMask zegt dat het meer geverifieerde informatie zal delen zodra die beschikbaar komt. Voor wie de situatie volgt, zijn de zichtbare mijlpalen vooruit het leegstromen van de exit-wachtrij uiterlijk eind 7 oktober en eventuele geverifieerde updates die MetaMask via zijn officiële kanalen deelt.

Ondertussen herinnerde het bedrijf gebruikers eraan hun Secret Recovery Phrase of privésleutels met niemand te delen en waakzaam te zijn voor communicatie die niet rechtstreeks van zijn officiële kanalen afkomstig is.