MetaMask a confirmat că gestionează un incident de securitate activ care afectează o parte din infrastructura sa, declanșând retragerea preventivă a validatorilor asociați serviciului său de staking non-custodial pentru Ethereum.
Ce s-a întâmplat
Furnizorul de portofele a declarat că „abordează și remediază activ” o problemă în curs, în colaborare cu parteneri externi și consultanți de securitate. Deocamdată au fost oferite puține detalii tehnice publice, însă MetaMask a precizat că, pe baza evaluării curente, nu există o amenințare imediată la adresa portofelelor utilizatorilor.
Ca măsură de precauție, MetaMask retrage în mod proactiv validatorii din cadrul operațiunilor sale de staking non-custodial. Deoarece serviciul este non-custodial, MetaMask nu deține niciodată cheile de retragere în numele celor care fac staking — un detaliu structural care limitează ce ar putea face un atacator chiar și în cel mai nefavorabil scenariu.
Lido, protocolul de liquid staking care colaborează cu validatorii operați de MetaMask, a confirmat că ia măsuri similare pentru protejarea activelor clienților. Potrivit Lido, validatorii afectați au intrat deja în procesul de ieșire, iar ultimul lot urmează să fie retras — deși nu complet eliberat — până la 7 octombrie 2026. Protocolul a precizat că această măsură va însemna probabil recompense pierdute și posibile penalizări de downtime pe termen scurt.
De ce contează
Retragerea validatorilor este un instrument de izolare simplu, dar eficient: scoaterea validatorilor din funcțiune schimbă un cost cunoscut și limitat (recompense pierdute, penalizări de downtime) pentru eliminarea expunerii cât timp problema este investigată. Este un semnal că incidentul, indiferent de cauza sa, a fost considerat suficient de serios pentru a afecta infrastructura de staking activă, nu doar gestionat discret în fundal.
Pentru utilizatori, riscul practic depinde în întregime de custodie. Staking-ul non-custodial înseamnă că cheile care controlează retragerile rămân la client, nu la platformă — astfel încât, chiar dacă infrastructura MetaMask ar fi fost compromisă, un atacator nu ar obține automat capacitatea de a muta fondurile puse la staking. Această separare arhitecturală joacă un rol esențial aici.
Situația este încă în desfășurare, iar MetaMask nu a dezvăluit natura incidentului, modul în care a fost descoperit sau dacă au fost accesate date ori fonduri.
Ce este de făcut
- Utilizatorii MetaMask cu ETH la staking: urmăriți actualizările oficiale de pe canalele MetaMask și Lido, nu speculațiile din surse terțe.
- Echipele care integrează API-uri sau SDK-uri de staking MetaMask: tratați acest incident ca un semnal de a reverifica propriile presupuneri privind custodia cheilor — confirmați ce chei dețineți voi și ce chei deține platforma, și unde se află de fapt granița de încredere.
- Echipele de securitate din exchange-uri, portofele sau custozi: folosiți acest moment pentru a reverifica propriile afirmații „non-custodial” față de arhitectura reală de gestionare a cheilor — „non-custodial” este o măsură de protecție doar dacă este adevărată integral, de la un capăt la altul.
- Restul utilizatorilor: nu schimbați comportamentul operațional doar pe baza titlurilor din presă; așteptați detalii tehnice confirmate.
4tify va actualiza acest articol pe măsură ce apar informații suplimentare.