MetaMask виходить із валідаторів Lido через «інцидент безпеки» інфраструктури

MetaMask реагує на «поточний інцидент безпеки», який впливає на частину її інфраструктури, і як запобіжний захід почала виводити свої валідатори Ethereum з протоколу стейкінгу Lido, повідомили компанії у вівторок.

Розробник гаманця заявив, що не виявив «жодної негайної загрози для гаманців MetaMask», і що він вирішує та усуває проблему внутрішньо разом із зовнішніми партнерами та консультантами з безпеки. Він виводить уражені валідатори в межах своїх операцій некастодіального стейкінгу, працюючи з клієнтами та партнерами.

MetaMask Staking, раніше Consensys Staking, керує валідаторами на Lido, найбільшому протоколі ліквідного стейкінгу на Ethereum. Lidoрозкрила ці виходи в повідомленні про безпеку, опублікованому на своєму форумі управління пізно у вівторок, описавши причину як компрометацію інфраструктури, яка розслідується.

За словами Lido, цей крок, ймовірно, означатиме втрачені винагороди, а також можливі штрафи за простоювання, якщо валідатори вийдуть з мережі найближчими днями, щоб обмежити ризик мережевих штрафів. Відповідні валідатори розпочали процес, і очікується, що останні з них вийдуть, хоча й не повністю виведуть кошти, до кінця 7 жовтня. Lido описала ці виходи як один із вжитих заходів, і жодна з компаній не повідомила, чи задіяні валідатори, які MetaMask запускає в інших місцях.

Повернення ETH займе значно більше часу. Lido заявила, що виведена частка має поступово повернутися до протоколу, оскільки валідатори проходять цикл виходу, виведення та повторного входу — повний обіг, який, за її оцінками, може тривати до 45 днів через розширену чергу на вході в Ethereum.

Обидві компанії наголосили, що домовленість про стейкінг є некастодіальною і що MetaMask не зберігає ключі для виведення клієнтських стейків. Lido заявила, що від власників stETH, її токена ліквідного стейкінгу, не потрібно жодних дій, і вказала на розподіл своїх операторів вузлів та спеціальний резервний фонд у понад 6 750 stETH як буфери проти збоїв.

Незалежний ончейн-аналіз, який жодна з компаній не підтвердила, свідчить про те, як мало було викрадено. Дослідник Kadenзаявив, що 19 валідаторів MetaMask отримали винагороди за блоки і що 18 із цих виплат були спрямовані на адресу, профінансовану через міксер Tornado Cash, а не на правильного отримувача комісії, що становить приблизно 0,36 ETH — менше 1 000 доларів за поточними цінами.

Згідно з тим самим аналізом, близько 17 000 валідаторів, які утримують приблизно 523 000 ETH вартістю близько 1,4 мільярда доларів, виводяться з мережі як запобіжний захід, при цьому 821 потенційно постраждалий валідатор ще не вийшов. Дослідник заявив, що неясно, чи міг зловмисник змінити одержувачів комісій у всьому наборі, і що вони «ймовірно, ніколи не мали можливості» вивести застейкані ETH, але валідатори в принципі можуть бути навмисно скорочені залежно від того, як було отримано доступ до підпису.

Засновник Aave Стені Кулечовзаявив, що кредитний протокол спостерігає за ситуацією разом із Lido, і що це не вплинуло на ринки Aave, де stETH є однією з найбільш широко використовуваних форм застави. Засновник Ethena Гай Янгзаявив, що активи, які забезпечують його синтетичний долар USDe, наразі не включають прямої експозиції до stETH або будь-якого іншого токена ліквідного стейкінгу, і що він не очікує жодного впливу.

Це вже другий такий інцидент у великого оператора Lido трохи більш ніж за рік. Kilnвийшла з усіх своїх валідаторів Ethereum у вересні 2025 року після виявлення того, що її генеральний директор назвав потенційною компрометацією своєї інфраструктури, через кілька днів після інциденту з Solanaінцидент за участю SwissBorg.

Жодна з компаній не повідомила, що саме було скомпрометовано, як і ким. Триває повне розслідування, обіцяно подальші оновлення.