MetaMask oświadcza, że nie znalazła żadnych wskazówek na to, że portfele użytkowników ani środki klientów były narażone na bezpośrednie zagrożenie, potwierdzając w najnowszej aktualizacji bezpieczeństwa, że nadal koncentruje się na krokach związanych z „powstrzymaniem incydentu i weryfikacją”. Równolegle firma kontynuowała wycofywanie swoich walidatorów Ethereum z protokołu stakingowego Lido ze środków ostrożności.

Bez bezpośredniego zagrożenia dla portfeli

Chociaż aktualizacja nie weszła w szczegóły incydentu bezpieczeństwa, MetaMask stwierdziła, że na podstawie śledztwa prowadzonego do 1 października nie zaobserwowała żadnych wskazówek, że środki klientów zostały uzyskane, zgodnie z aktualizacją dla użytkowników.

Usługa stakingowa MetaMask jest niepowiernicza, co oznacza, że firma nie przechowuje kluczy wypłaty dla stakingu, który prowadzi w imieniu klientów.

MetaMask Staking, wcześniej znany jako Consensys Staking, obsługuje walidatory wewnątrz Lido, największego protokołu płynnego stakingu Ethereum, i ze środków ostrożności wyłącza te walidatory z działania. Lido również nie sprecyzowało wykorzystanej luki. Jednak post na forum governance zapewnił posiadaczy stETH, że nie muszą podejmować żadnych działań. stETH to token płynnego stakingu emitowany przez Lido uczestnikom, reprezentujący ich zastake'owany Ether, podczas gdy podstawowe środki pozostają zablokowane u walidatorów protokołu.

Dotknięte walidatory znajdują się już w kolejce wyjścia, a ostatni ma ją opuścić — choć bez pełnej wypłaty — do końca 7 października. Powrót wycofanego Etherea na aktywne pozycje walidatorów zajmie co najmniej kolejne dni i 18 godzin, zgodnie z kolejką walidatorów Ethereum. To oczekiwanie wynika z konstrukcji Ethereum, która reguluje wyjścia i wypłaty walidatorów za pomocą kolejek ograniczających, ile z nich może być przetwarzanych jednocześnie — dlatego nawet rutynowe, ostrożnościowe wyjście może pozostawić zastake'owane środki zablokowane na tygodnie.

Pierwszy test odporności dla świeżo niepodległego MetaMask

Incydent przypadł niespełna trzy tygodnie po tym, jak MetaMask stała się niezależną firmą. Ogłoszenie z 9 września potwierdziło podział na konsumencki biznes portfela, MetaMask, oraz dział protokołów i instytucjonalny, Consensys. Cryptopolitan informowała wówczas, że rozdzielenie ma zostać sfinalizowane do końca roku.

MetaMask pozycjonuje się jako największa na świecie niepowiernicza platforma finansowa, pobrana ponad 100 milionów razy w około 190 krajach, obsługująca biliony dolarów skumulowanego wolumenu transakcji.

Przypadek ten przypomina sytuację z września 2025 roku, kiedy platforma stakingowa Kiln przeprowadziła własne „uporządkowane wyjście” z walidatorów Ethereum po tym, jak udostępniane przez nią API zostało wykorzystane w atanaku na SwissBorg o wartości około 40 milionów dolarów. Podobnie jak obecnie MetaMask, Kiln również zapewniała, że aktywa klientów są bezpieczne.

MetaMask nie podała, czy walidatory, które prowadzi poza Lido, są objęte obecnym incydentem, a ani firma, ani Lido nie opisały charakteru naruszenia. MetaMask deklaruje, że przekaże więcej zweryfikowanych informacji, gdy tylko będą dostępne. Dla osób śledzących sytuację widocznymi punktami odniesienia będą opróżnienie kolejki wyjścia do końca 7 października oraz wszelkie zweryfikowane aktualizacje publikowane przez MetaMask w jej oficjalnych kanałach.

W międzyczasie firma przypomniała użytkownikom, aby nie udostępniali nikomu swojej frazy Secret Recovery Phrase ani kluczy prywatnych, i zaleciła ostrożność wobec wszelkich komunikatów, które nie pochodzą bezpośrednio z jej oficjalnych kanałów.