MetaMask, некастодиальный криптокошелек, разработанный Consensys, подтвердила, что реагирует на инцидент с безопасностью, затронувший часть ее инфраструктуры, заявив, что на данный момент непосредственной угрозы кошелькам MetaMask не выявлено. Компания раскрыла информацию в публичном обновлении по безопасности, отметив, что реагирование осуществляется в координации с клиентами, внешними партнерами и консультантами по безопасности.

В исходном заявлении говорилось: «Мы реагируем на инцидент с безопасностью, затронувший часть нашей инфраструктуры. На данный момент мы не выявили непосредственной угрозы кошелькам MetaMask. В качестве меры предосторожности мы заблаговременно выводим затронутые валидаторы из наших некастодиальных стейкинг-операций в координации с клиентами, партнерами и консультантами по безопасности. Мы будем делиться дальнейшими обновлениями по мере необходимости.»

Security Update: We are responding to a security incident affecting part of our infrastructure. At this time, we have identified no immediate threat to MetaMask wallets. As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,… — MetaMask (@MetaMask) 30 сентября 2026 г.

Превентивный вывод валидаторов

В качестве меры предосторожности MetaMask выводит затронутые валидаторы, участвующие в ее некастодиальных стейкинг-операциях. Компания подчеркнула, что ее стейкинг-сервисы являются некастодиальными и что MetaMask не управляет ключами вывода от имени клиентов. Такая структура означает, что ключи кошельков пользователей находятся вне управления MetaMask, поэтому инцидент касается валидаторных операций, которые ведет компания, а не ключевого материала самих пользователей. В стейкинге Ethereum вывод (exit) удаляет валидатор из активной работы, прекращая производство им блоков, при этом застейканный ETH ожидает в очереди сети перед выводом — это шаг по сдерживанию, который операторы используют для ограничения риска.

Хроника событий в блокчейне

Наблюдатели в блокчейне восстановили следующую последовательность событий. Примерно в 10:27 недавно созданный внешне контролируемый аккаунт, пополненный через вывод 0,1 ETH с использованием Tornado Cash — приватизатора, предназначенного для сокрытия происхождения транзакций, — получил средства. Вывод валидаторов, связанных с MetaMask и Consensys, начался около 11:00.

Согласно протоколу Ethereum, валидаторы получают вознаграждения за предлагаемые ими блоки, а выплаты направляются на адреса, указанные оператором. 12:12 до 16:46 этот адрес собрал вознаграждения за блоки на общую сумму около 0,36 ETH за 18 блоков, предложенных валидаторами MetaMask — группой, состоящей из 11 валидаторов Lido под управлением Consensys, пяти клиентских валидаторов и двух валидаторов, связанных с EthFoxVault. В 12:42 Consensys удалила 400 неиспользуемых ключей Lido, а после 16:46 вознаграждения, по имеющимся данным, снова стали поступать правильным получателям.

Отдельно сообщалось, что децентрализованный протокол кредитования Aave готовился заморозить свои рынки V3 в качестве меры предосторожности, однако в итоге этого не сделал.

Процесс выхода из Lido продолжается, в сообществе сохраняются спекуляции

Превентивный вывод затрагивает и Lido — ведущий протокол ликвидного стейкинга на Ethereum. Lido подтвердила, что MetaMask Staking — ранее Consensys Staking — начала вывод своих валидаторов Ethereum из протокола в качестве меры предосторожности после компрометации инфраструктуры. Процесс выхода начался; ожидается, что последние валидаторы завершат выход, хотя еще не полностью выведут средства, к 7 октября 2026 года. Lido отметила, что этот шаг, вероятно, приведет к упущенным вознаграждениям и возможным штрафам за простой, если валидаторы будут отключены для снижения рисков, связанных с сетевыми штрафами.

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators. These steps include exiting its Ethereum (ETH) validators in the Lido… — Lido (@LidoFinance) 30 сентября 2026 г.

Держателям stETH — ликвидного стейкинг-токена Lido, представляющего застейканный ETH, — ничего делать не требуется. Ожидается, что ETH, выведенный из валидаторов MetaMask, будет постепенно возвращаться в протокол по мере того, как валидаторы проходят цикл выхода, вывода и повторного входа — процесс, который, по оценкам, может занять до 45 дней из-за увеличенного времени ожидания в очереди на вход. Lido также указала на диверсифицированный набор операторов узлов протокола и резервный фонд объемом более 6 750 stETH как на меры защиты, предназначенные для локализации и смягчения сбоев.

Ограниченные детали, раскрытые на данный момент, породили спекуляции в криптосообществе. Подкастер по имени Энди предположил — не приводя доказательств, — что инцидент может быть более серьезным, чем известно публично, утверждая, что небольшой процент предложения Ethereum может быть фактически заблокирован в блокчейне через одного провайдера ликвидного стейкинга. Участник сообщества Ник О'Нил аналогично выдвинул гипотезу, что MetaMask могла раскрыть информацию об инциденте превентивно, хотя доказательств этого он также не представил.

Rumor mill saying the Metamask exploit could be far worse than people are expecting, with a small % of the Ethereum supply being ‘held hostage’ onchain from a single liquid staking provider. More to come as we learn more from our sources, but hoping it’s a nothing burger. — Andy (@andyyy) 1 октября 2026 г.

Бывшая сотрудница MetaMask и специалист по безопасности Тейлор Монахан возразила против подобных трактовок, описав действия компании как стандартную последовательность реагирования на инциденты: обнаружение подозрительной активности, устранение потенциальной угрозы и проактивную ротацию затронутой инфраструктуры. Она утверждала, что организации, которые обнаруживают, раскрывают и устраняют угрозы, следует считать менее рискованными, чем те, кто не знает о компрометации своих систем.

lmao no offense but this is a truly crackhead set of assumptions stung together. i assume you're not super security focused and stuff but if you ask grok or claude or chatgpt they can help you understand the realistic risk and explain it to you like youre 5. this assumes you… — Tay (@tayvano_) 1 октября 2026 г.

Перевод с кошелька, связанного с Любином, привлек внимание

Событием, усилившим обсуждение в сообществе, стало наблюдение аналитиков Lookonchain: кошелек, связанный с сооснователем Ethereum и генеральным директором Consensys Джозефом Любином, перевел 133 298 ETH — на сумму около 356,2 млн долларов — на новый адрес за несколько часов до публичного раскрытия инцидента.

A wallet linked to #Ethereum co-founder Joseph Lubin( @ethereumJoseph ) transferred 133,298 $ETH ($356.2M) to a new wallet 5 hours ago. pic.twitter.com/MInJPam0s6 — Lookonchain (@lookonchain) 1 октября 2026 г.

Однако подтвержденной связи между этим переводом и инцидентом с безопасностью MetaMask нет. Примечательно, что в сентябре Consensys объявила о разделении своего потребительского и институционального бизнесов на две независимо управляемые компании.

Полное расследование инцидента продолжается, и от MetaMask ожидаются дальнейшие обновления по мере их появления. Ближайшие ориентиры, за которыми стоит следить: целевой срок завершения вывода валидаторов Lido — 7 октября 2026 года, темпы возврата выведенного ETH в протокол в течение цикла продолжительностью до 45 дней, а также любые дальнейшие раскрытия информации от MetaMask по результатам расследования.

Эта статья основана на материале Metaverse Post.