ConsenSys-oprichter Joseph Lubin heeft MetaMask-gebruikers gerustgesteld dat er geen aanwijzing is dat de recente cyberaanval op het bedrijf het MetaMask-walletsysteem zelf heeft aangetast, en bevestigde dat de wallets en privésleutels van gebruikers volledig veilig blijven.

De update volgt nadat MetaMask op 30 september bekendmaakte dat een deel van zijn infrastructuur was getroffen door een securityincident. MetaMask is de self-custodial wallet die door ConsenSys is ontwikkeld, een ontwerp waarbij gebruikers — niet het bedrijf — de credentials beheren die toegang tot hun fondsen geven.

In een bericht op X (https://x.com/ethereumJoseph/status/210616220729802928?s=20) verzekerde Lubin klanten: “Your Secret Recovery Phrase, your keys, and the assets in your wallet were not part of this incident because they CANNOT be. You custody and control your own keys. That is how self custody works.”

Toen het lek donderdag voor het eerst werd ontdekt, legde MetaMask tijdelijk enkele Ethereum-stakingmachines stil die het namens klanten beheert. Zelfs op dat moment gaf het bedrijf aan geen “immediate threat” voor klantwallets te hebben waargenomen.

Lubin zegt dat validator keys zijn geroteerd

In zijn X-bericht legde Lubin uit waarom het enige tijd duurde voordat hij publiek op het incident reageerde. Hij merkte op dat MetaMask openbare communicatie beperkt zolang een onderzoek loopt, maar kernpartners en relevante stakeholders informeert zodra het probleem volledig is gediagnosticeerd.

Hij hield vol dat de fondsen van klanten veilig bleven omdat het bedrijf op een self-custody-model werkt, wat betekent dat gebruikers volledige controle over hun eigen geld behouden.

Lubin merkte ook op dat het bedrijf zijn validator keys heeft geroteerd, maar erkende een nadeel: validators moeten de stakingqueue verlaten en opnieuw toetreden om weer te staken — een proces dat aanzienlijk tijd kan kosten. Ethereum kent entry- en exitqueues in zijn protocol om te reguleren hoe snel validators het netwerk kunnen verlaten en weer toetreden, en de wachttijden lopen op wanneer grote aantallen validators tegelijk bewegen.

Het bedrijf legde bovendien enkele stakingmachines stil. Lido, groot stakingprotocol, merkte eerder op dat zo'n stillegging helpt om gestakte coins te beschermen, maar ook een prijs met zich meebrengt. Validators die door MetaMask worden beheerd zijn begonnen het systeem te verlaten, en de resterende validators worden verwacht op 7 oktober te stoppen met staken.

MetaMask-validators zijn een exitproces gestart dat op 7 oktober eindigt. Het opnemen van de ETH kan circa 45 dagen duren. Bovendien betekent het verwerken van de daaropvolgende 45 dagen durende Ethereum-entryqueue dat de assets langdurig slapend raken, standaard rendement mislopen en het risico lopen op boetes wanneer ze offline worden gehaald.

Wat het incident betekent voor MetaMask-gebruikers

Het onderscheid tussen de infrastructuur van MetaMask en de self-custody-wallets van gebruikers is cruciaal bij het beoordelen van de impact van het incident. MetaMask laat gebruikers hun eigen privésleutels en Secret Recovery Phrases beheren in plaats van deze namens hen te bewaren. Een aanval op een deel van de infrastructuur van ConsenSys geeft een aanvaller dus niet automatisch toegang tot de fondsen in de wallets van gebruikers. Dat staat in contrast tot custodial diensten, waarbij een provider sleutels namens klanten beheert en een succesvolle inbreuk op de provider gebruikersfondsen direct kan blootstellen.

De aanval heeft echter opnieuw de risico's benadrukt waaraan de infrastructuur die cryptodiensten ondersteunt blootstaat. MetaMask werkt samen met Ethereum-validators en andere blockchain-infrastructuur, wat betekent dat een compromittering de bedrijfsvoering kan verstoren, zelfs wanneer klantsleutels en assets buiten het bereik van de aanvaller blijven.

MetaMask heeft gebruikers gewaarschuwd alert te zijn op phishingpogingen na het incident, en benadrukte dat gebruikers hun Secret Recovery Phrase of privésleutels nooit met iemand mogen delen die beweert ondersteuning te bieden. Omdat Lubin zei dat het bedrijf openbare communicatie beperkt zolang het onderzoek loopt, zijn de officiële MetaMask-kanalen de betrouwbare bron voor vervolginformatie naarmate de diagnose vordert.

MetaMask kende eerder dit jaar al een ander beveiligingsrisico

Het infrastructuurincident volgt kort op een ander veelbesproken beveiligingsschrikbeeld voor ConsenSys. In juli 2026 werd bekend dat een aan Noord-Korea gelinkte softwareontwikkelaar ongeveer een maand binnen MetaMask had gewerkt, zonder dat ConsenSys enig besef had van de ware identiteit van de ontwikkelaar.

Onder het alias 'Tyler Knapp' wist de agent een consultancyrol te bemachtigen en slaagde hij erin code te integreren in kritieke walletfuncties die fiat-naar-crypto-bridging verzorgen. ConsenSys onthemde zijn backend-toegang bij de ontdekking en bevestigde dat er geen fondsen waren gestolen.

De toegang van de agent liep van 9 maart tot zijn ontslag in april — een periode van meerdere weken die alarm sloeg onder cybersecurityanalisten. Volgens blockchain-intelligencebedrijf TRM Labs is het targeten van ontwikkel­omgevingen de snelste methode geworden waarmee tegenstanders de privésleutels van eenobedrijf buitmaken en goedkeuringspipelines voor opnames binnendringen.

Na de ontdekking van de inbreuk in april informeerde ConsenSys onmiddellijk de federale politie en startte een grondige herziening van zijn protocollen voor background checks van contractoren. “We discovered the threat… and launched a comprehensive investigation that confirmed there was no misappropriation of assets or data, no malicious code deployed, and no impact to user safety and security,” aldus Matt Corva, algemeen juridisch adviseur van ConsenSys.

De inbreuk is allerminst een geïsoleerd incident. Door de staat gesponsorde Noord-Koreaanse agenten geven zich routine­matig uit voor gekwalificeerde ingenieurs om remote functies te bemachtigen, waarbij ze hun toegang gebruiken om proprietary data te exfiltreren of backdoors te installeren.

Onderzoekers van het door Ethereum gefinancierde Ketman Project hebben 100 vermoedelijke Noord-Koreaanse IT-werkers gemarkeerd die erin slaagden 53 verschillende cryptoplatformen binnen te dringen. Deze agenten gebruiken doorgaans valse identiteitsdocumenten en neprekruteerprofielen om HR-screening te omzeilen, en maken af en toe gebruik van Amerikaanse burgers — van wie sommigen inmiddels zijn veroordeeld — om de fysieke en digitale locaties van de werksters te witwassen.