MetaMask заявляет, что не обнаружила признаков того, что кошельки пользователей или средства клиентов находились под непосредственной угрозой, подтвердив в последнем обновлении по безопасности, что по-прежнему сосредоточена на шагах по «локализации и верификации». Параллельно компания продолжила превентивный вывод своих валидаторов Ethereum из протокола стейкинга Lido.

Непосредственной угрозы кошелькам нет

В последующем обновлении не приводится подробностей об инциденте безопасности, однако MetaMask сообщила в своем обновлении для пользователей, что по результатам расследования, проведенного по 1 октября, не обнаружено признаков доступа к средствам клиентов.

Сервис стейкинга MetaMask является некастодиальным, то есть компания не хранит ключи вывода для стейкинга, который она ведет от имени клиентов.

MetaMask Staking, ранее известная как Consensys Staking, управляет валидаторами внутри Lido — крупнейшего протокола ликвидного стейкинга Ethereum — и в качестве меры предосторожности отключает эти валидаторы. Lido также не уточнила характер эксплойта. Однако пост на форуме управления заверил держателей stETH, что от них не требуется никаких действий. stETH — это токен ликвидного стейкинга, который Lido выпускает участникам и который представляет их застейкинганный Ether, пока базовые средства остаются заблокированными в валидаторах протокола.

Затронутые валидаторы уже находятся в очереди на выход, при этом последний, как ожидается, выйдет — хотя и не полностью выведет средства — до конца 7 октября. Возврат выведенного Ether в активные валидаторы займет, согласно очереди валидаторов Ethereum, еще как минимум 27 дней и 18 часов. Ожидание обусловлено дизайном Ethereum, который регулирует выход и вывод валидаторов через очереди, ограничивающие количество одновременных операций, — поэтому даже рутинный превентивный выход может оставить застейкинганные средства заблокированными на несколько недель.

Первая проверка на прочность для недавно независимой MetaMask

Инцидент произошел всего через три недели после того, как MetaMask стала независимой компанией. В анонсе от 9 сентября было подтверждено разделение на бизнес потребительских кошельков MetaMask и подразделение протоколов и институционаных решений Consensys. Как сообщал Cryptopolitan, разделение должно быть полностью завершено до конца года.

MetaMask позиционирует себя как крупнейшую в мире самокастодиальную финансовую платформу, скачанную более 100 миллионов раз примерно в 190 странах и обработавшую триллионы долларов совокупного объема транзакций.

Эпизод перекликается с событиями сентября 2025 года, когда платформа стейкинга Kiln также провела собственный «упорядоченный выход» из валидаторов Ethereum после того, как предоставленный ей API был использован в ходе взлома SwissBorg на сумму около 40 миллионов долларов. Как и MetaMask сейчас, Kiln также утверждала, что активы клиентов в безопасности.

MetaMask не сообщила, затронуты ли инцидентом валидаторы, которые она управляет вне Lido, и ни компания, ни Lido не раскрыли характер компрометации. MetaMask заявила, что будет публиковать больше проверенной информации по мере ее поступления. Для следящих за ситуацией ориентиры впереди — завершение очистки очереди выхода до конца 7 октября и любые проверенные обновления, которые MetaMask опубликует в официальных каналах.

Тем временем компания напомнила пользователям не передавать никому свою секретную фразу восстановления или приватные ключи и призвала проявлять осторожность в отношении любых сообщений, которые не исходят напрямую из её официальных каналов.