MetaMask reaguje na „trwający incydent bezpieczeństwa” dotyczący części jej infrastruktury i, jako środek ostrożności, rozpoczęła wycofywanie obsługiwanych przez siebie walidatorów Ethereum z protokołu Lido — poinformowały obie firmy w środę.

Producent portfela oświadczył, że zidentyfikował „brak bezpośredniego zagrożenia dla portfeli MetaMask”. Firma bada i usuwa problem wewnętrznie we współpracy z partnerami zewnętrznymi i doradcami ds. bezpieczeństwa, jednocześnie wycofując objęte incydentem walidatory w ramach swoich niepowierniczych operacji stakingowych i koordynując działania z klientami oraz partnerami.

Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask 🦊 (@MetaMask) September 30, 2026

https://x.com/MetaMask/status/2105442300335620460?ref_src=twsrc%5Etfw

MetaMask Staking, wcześniej Consensys Staking, prowadzi walidatory na Lido — największym protokole liquid stakingu na Ethereum. Liquid staking pozwala użytkownikom stakować ETH bez uruchamiania własnych walidatorów i otrzymywać w zamian token — w przypadku Lido jest to stETH — w strukturze, która bezpośrednio wiąże bezpieczeństwo poszczególnych operatorów węzłów z aktywami wykorzystywanymi w całych finansach zdecentralizowanych. Lido ujawniło wycofania w zawiadomieniu o bezpieczeństwie opublikowanym na forum zarządzania, opisując przyczynę jako badaną kompromitację infrastruktury.

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) September 30, 2026

https://twitter.com/LidoFinance/status/2105443679905235344

Lido oświadczyło, że ruch prawdodobnie skutkuje utraconymi nagrodami i może prowadzić do kar za przestoje, jeśli walidatory przejdą w najbliższych dniach w tryb offline w celu zmniejszenia ryzyka kar sieciowych. Wynika to z tego, że wyjście usuwa walidatory z aktywnego zestawu Ethereum, gdzie przestają pełnić obowiązki i zarabiać nagrody do czasu ponownego wejścia. Odpowiednie walidatory rozpoczęły proces wyjścia, a ostatnie z nich mają opuścić sieć — choć nie zostaną jeszcze w pełni wypłacone — do końca 7 października.

Ani MetaMask, ani Lido nie podały, czy dotyczy to także walidatorów obsługiwanych przez MetaMask w innych miejscach. Lido opisało wycofania jako jeden z kilku podjętych środków ostrożności po kompromitacji infrastruktury.

Odzyskanie ETH zajmie znacznie więcej czasu. Lido poinformowało, że wycofana stawka powinna stopniowo wracać do protokołu, gdy walidatory przejdą przez cykl wyjścia, wypłaty i ponownego wejścia. Cały cykl może potrwać do 45 dni z powodu wydłużonej kolejki wejściowej Ethereum.

Obie firmy podkreśliły, że układ stakingowy nie jest powierniczy, a MetaMask nie przechowuje kluczy wypłaty dla stawek klientów. Lido oświadczyło, że posiadacze jego tokena liquid stakingu, stETH, nie muszą podejmować żadnych działań. Wskazało także na rozproszoną sieć operatorów węzłów oraz ad hoc fundusz rezerwowy zawierający ponad 6750 stETH jako zabezpieczenia na wypadek zakłóceń.

Niezależna analiza on-chain, której żadna z firm nie potwierdziła, dała wskazówkę co do kwoty, jaka mogła zostać zabrana. Badacz Kaden stwierdził, że 19 walidatorów MetaMask uzyskało nagrody za bloki i że 18 z tych płatności trafiło na adres finansowany przez mikser Tornado Cash zamiast do właściwego odbiorcy opłat. Płatności wyniosły około 0,36 ETH, czyli mniej niż 1000 dolarów po obecnych cenach.

Według tej samej analizy około 17 000 walidatorów utrzymujących około 523 000 ETH, o wartości około 1,4 mld dolarów, jest wycofywanych jako środek ostrożności. Ethereum ogranicza każdy walidator do 32 ETH — dlatego wyjście o takiej skali obejmuje tysiące pojedynczych kont walidatorów. Badacz stwierdził, że 821 potencjalnie dotkniętych walidatorów jeszcze nie opuściło sieci. Pozostaje niejasne, czy atakujący mógł zmienić odbiorców opłat w całym zestawie.

Kaden stwierdził, że atakujący „prawdopodobnie nigdy nie miał możliwości” wypłaty postawionego ETH. Walidatory mogły jednak co do zasady zostać celowo ukarane slashingiem — protokołową karą Ethereum, która spala część stawki walidatora, gdy w sposób dowodowy narusza on zasady sieci — w zależności od tego, jak uzyskano dostęp do podpisywania.

Założyciel Aave, Stani Kulechov, oświadczył, że protokół pożyczkowy monitoruje sytuację wspólnie z Lido że nie było to wpływu na rynki Aave. stETH należy do naj szerzej wykorzystywanych form zabezpieczenia na platformie — co pokazuje, jak głęboko token jest osadzony w zdecentralizowanym pożyczaniu i dlaczego protokoły poza Lido szybko sprawdziły własną ekspozycję.

Założyciel Etheny, Guy Young, oświadczył, że aktywa zabezpieczające syntetycznego dolara USDe nie obejmują obecnie bezpośredniej ekspozycji na stETH ani żaden inny token liquid stakingu i że nie spodziewa się wpływu.

To drugi podobny incydent z udziałem głównego operatora Lido w ciągu nieco ponad roku. Kiln wycofał wszystkie swoje walidatory Ethereum we wrześniu 2025 roku po zidentyfikowaniu tego, co jego dyrektor generalny opisał jako potencjalną kompromitację infrastruktury. Wcześniej, kilka dni wcześniej, miał miejsce incydent na Solanie z udziałem SwissBorg.

Żadna z firm nie ujawniła, co zostało skompromitowane, jak do tego doszło ani kto za tym stoi. Trwa pełne dochodzenie, a obie firmy obiecały dalsze aktualizacje. Najbliższe widoczne kamienie milowe to zakończenie wycofań do 7 października oraz stopniowy powrót wycofanej stawki w kolejnych tygodniach.

Źródło: Decrypt