MetaMask реагирует на «продолжающийся инцидент безопасности», затронувший часть её инфраструктуры, и, по словам компаний, в качестве меры предосторожности начала выводить валидаторы Ethereum, которые она управляет через Lido.

Разработчик кошелька заявил, что не выявил «непосредственной угрозы для кошельков MetaMask». Компания расследует и устраняет проблему внутренними силами совместно с внешними партнёрами и консультантами по безопасности, одновременно выводя затронутые валидаторы в рамках своих некастодиальных операций стейкинга и координируя действия с клиентами и партнёрами.

Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask 🦊 (@MetaMask) September 30, 2026

https://x.com/MetaMask/status/2105442300335620460?ref_src=twsrc%5Etfw

MetaMask Staking, ранее Consensys Staking, управляет валидаторами в Lido — крупнейшем протоколе ликвидного стейкинга на Ethereum. Ликвидный стейкинг позволяет пользователям стейкать ETH без запуска собственных валидаторов и получать взамен токен — в случае Lido это stETH. Такая структура напрямую связывает безопасность отдельных операторов узлов с активами, используемыми во всём децентрализованном финансировании. Lido раскрыла информацию о выходах в уведомлении о безопасности, опубликованном на её форуме управления, назвав причиной компрометацию инфраструктуры, расследование которой продолжается.

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) September 30, 2026

https://twitter.com/LidoFinance/status/2105443679905235344

Lido заявила, что этот шаг, вероятно, приведёт к недополученным вознаграждениям и может повлечь штрафы за простой, если валидаторы в ближайшие дни будут отключены для снижения риска сетевых штрафов. Это связано с тем, что выход удаляет валидаторы из активного набора Ethereum, где они прекращают выполнять свои обязанности и получать вознаграждения до повторного входа. Соответствующие валидаторы уже начали процесс выхода, и последние из них, как ожидается, выйдут — хотя и не полностью выведут средства — к концу 7 октября.

Ни MetaMask, ни Lido не сообщили, затронуты ли валидаторы, которыми MetaMask управляет в других местах. Lido описала эти выходы как одну из нескольких мер предосторожности, принятых после компрометации инфраструктуры.

Возврат ETH займёт значительно больше времени. Lido сообщила, что выведенная ставка должна постепенно вернуться в протокол по мере завершения валидаторами цикла выхода, вывода средств и повторного входа. Полный цикл может занять до 45 дней из-за расширенной очереди на вход в Ethereum.

е компании подчеркнули, что схема стейкинга является некастодиальной и что MetaMask не хранит ключи вывода для стейкнутых активов клиентов. Lido заявила, что держателям её токена ликвидного стейкинга stETH не требуется предпринимать никаких действий. Компания также указала на распределённую сеть операторов узлов и временный резервный фонд объёмом более 6 750 stETH в качестве буферов против сбоев.

Независимый ончейн-анализ, который ни одна из компаний не подтвердила, дал представление о возможном объёме похищенного. Исследователь Kaden сообщил, что 19 валидаторов MetaMask получили вознаграждения за блоки, и 18 из этих выплат были направлены на адрес, пополненный через миксер Tornado Cash, вместо корректного получателя комиссий. Выплаты составили около 0,36 ETH — менее 1 000 долларов по текущим ценам.

Согласно тому же анализу, около 17 000 валидаторов с приблизительно 523 000 ETH на сумму около 1,4 млрд долларов выводятся в качестве меры предосторожности. В Ethereum лимит валидатора составляет 32 ETH, поэтому массовый выход такого масштаба охватывает тысячи отдельных аккаунтов валидаторов. Исследователь сообщил, что 821 потенциально затронутый валидатор ещё не вышел. Оставалось неясным, мог ли злоумышленник изменить получателей комиссий для всего набора.

Kaden заявил, что злоумышленник, «вероятно, никогда не имел возможности» вывести стейкнутый ETH. Однако валидаторы в принципе могли бы быть намеренно слэшнуты — штраф протокола Ethereum, при котором часть ставки валидатора сжигается, если доказано нарушение сетевых правил, — в зависимости от того, каким образом был получен доступ к подписанию.

Основатель Aave Стани Кулечов (Stani Kulechov) заявил, что кредитный протокол вместе с Lido следит за ситуацией и что влияния на рынки Aave не было. stETH входит в число наиболее широко используемых форм залога на платформе — показатель того, насколько глубоко токен встроен в децентрализованное кредитование и почему протоколы за пределами Lido оперативно проверили собственные риски.

Основатель Ethena Гай Янг (Guy Young) сообщил, что обеспечивающие активы синтетического доллара USDe в настоящее время не включают прямую экспозицию к stETH или любому другому токену ликвидного стейкинга, и что он не ожидает влияния.

Это второй подобный случай с крупным оператором Lido чуть более чем за год. Kiln вывела все свои валидаторы Ethereum в сентябре 2025 года после выявления того, что её генеральный директор назвал возможной компрометацией инфраструктуры. Это произошло через несколько дней после инцидента с Solana с участием SwissBorg.

Ни одна из компаний не раскрыла, что именно было скомпрометировано, как это произошло и кто несёт ответственность. Ведётся полное расследование, и обе компании пообещали дальнейшие обновления. Следующие видимые этапы — завершение выходов к 7 октября и постепенный возврат выведенной ставки в последующие недели.

Источник: Decrypt