In Kürze

  • MetaMask reagiert auf einen „laufenden Sicherheitsvorfall“, der einen Teil seiner Infrastruktur betrifft.
  • Als Vorsichtsmaßnahme zieht es sich aus den Ethereum-Validatoren zurück, die es im Lido-Protokoll betreibt, und hat nicht gesagt, ob andere betroffen sind.
  • Lido erklärt, dass für stETH-Halter keine Maßnahmen erforderlich sind und dass die Rückgabe von ETH bis zu 45 Tage dauern kann.

MetaMask reagiert auf einen „laufenden Sicherheitsvorfall“, der einen Teil seiner Infrastruktur betrifft, und hat begonnen, seine Ethereum-Validatoren als Vorsichtsmaßnahme aus dem Lido-Staking-Protokoll herauszuziehen, teilten die Unternehmen am Dienstag mit.

Der Wallet-Entwickler erklärte, es sei „keine unmittelbare Bedrohung für MetaMask-Wallets“ festgestellt worden und man befasse sich intern gemeinsam mit externen Partnern und Sicherheitsberatern mit der Behebung des Problems. Es ziehe sich aus den betroffenen Validatoren innerhalb seiner nicht-verwahrenden Staking-Aktivitäten zurück und arbeite dabei mit Kunden und Partnern zusammen.

MetaMask Staking, früher Consensys Staking, betreibt Validatoren auf Lido, dem größten Liquid-Staking-Protokoll auf Ethereum. Lido offenbarte die Ausstiege in einer spät am Dienstag in seinem Governance-Forum veröffentlichten Sicherheitsmitteilung und beschrieb die Ursache als eine Infrastrukturkompromittierung, die untersucht werde.

Der Schritt werde wahrscheinlich entgangene Belohnungen bedeuten, sagte Lido, und möglicherweise Ausfallstrafen, wenn Validatoren in den kommenden Tagen offline gehen, um das Risiko von Netzwerkstrafen zu begrenzen. Die betreffenden Validatoren haben den Prozess begonnen, und die letzten von ihnen sollen bis zum Ende des 7. Oktober ausgestiegen, aber nicht vollständig abgezogen sein. Lido beschrieb die Ausstiege als einen der ergriffenen Schritte, und keines der beiden Unternehmen sagte, ob Validatoren, die MetaMask anderswo betreibt, beteiligt sind.

Die Rückgewinnung des ETH wird erheblich länger dauern. Lido erklärte, dass das ausgestiegene Stake schrittweise an das Protokoll zurückgegeben werden sollte, während die Validatoren den Ausstiegs-, Auszahlungs- und Wiedereintrittszyklus durchlaufen – ein Hin und Zurück, das aufgrund der verlängerten Eintrittswarteschlange von Ethereum auf bis zu 45 Tage geschätzt wird.

Beide Unternehmen betonten, dass die Staking-Vereinbarung nicht-verwahrend ist und dass MetaMask keine Auszahlungsschlüssel für das Kunden-Stake hält. Lido erklärte, dass für die Inhaber von stETH, seinem liquiden Staking-Token, keine Maßnahmen erforderlich sind, und verwies auf seine Verteilung von Node-Betreibern und einen zweckgebundenen Reservefonds von mehr als 6.750 stETH als Puffer gegen Störungen.

Eine unabhängige Onchain-Analyse, die von keinem der beiden Unternehmen bestätigt wurde, deutet darauf hin, wie wenig entnommen wurde. Der Forscher Kadensagte, dass 19 MetaMask-Validatoren Blockbelohnungen gewonnen hätten und dass 18 dieser Zahlungen an eine Adresse geleitet wurden, die über den Tornado Cash-Mixer finanziert wurde, anstatt an den korrekten Gebührenempfänger, was etwa 0,36 ETH entspricht, bei aktuellen Preisen unter 1.000 US-Dollar.

Myriad: Wohin geht Ethereum als Nächstes? Klicken Sie, um Ihre Vorhersage zu treffen.
Myriad: Wohin geht Ethereum als Nächstes? Klicken Sie, um Ihre Vorhersage zu treffen.

Derselben Analyse zufolge werden etwa 17.000 Validatoren, die rund 523.000 ETH im Wert von etwa 1,4 Milliarden Dollar halten, vorsorglich ausgestiegen, wobei 821 potenziell betroffene Validatoren noch austreten müssen. Der Forscher sagte, es sei unklar, ob der Angreifer die Gebührenempfänger im gesamten Set ändern könne, und dass er „wahrscheinlich nie die Möglichkeit hatte“, gestakte ETH abzuheben, aber dass Validatoren grundsätzlich absichtlich geslasht werden könnten, je nachdem, wie der Signaturzugriff erlangt wurde.

Aave-Gründer Stani Kulechovsagte, das Lending-Protokoll beobachte die Situation gemeinsam mit Lido, und es habe keine Auswirkungen auf die Aave-Märkte gegeben, wo stETH zu den am weitesten verbreiteten Formen von Sicherheiten gehört. Ethena-Gründer Guy Youngsagte, die hinter seinem synthetischen Dollar USDe stehenden Vermögenswerte umfassten derzeit keine direkte Exposition gegenüber stETH oder einem anderen Liquid-Staking-Token, und er erwarte keine Auswirkungen.

Es ist der zweite derartige Vorfall bei einem großen Lido-Betreiber in etwas mehr als einem Jahr. Kilnverließ im September 2025 alle seine Ethereum-Validatoren, nachdem es das identifiziert hatte, was sein Geschäftsführer eine mögliche Kompromittierung seiner Infrastruktur nannte, Tage nach einem Solana-Vorfall mit SwissBorg.

Keines der beiden Unternehmen hat gesagt, was kompromittiert wurde, wie oder von wem. Eine vollständige Untersuchung ist im Gange, weitere Updates wurden versprochen.