MetaMask trekker sine validatorer ut av Lido etter at noen har omdirigert blokkbelønningene

MetaMask Staking trekker sine Ethereum-validatorer ut av Lido etter at blokkbelønninger fra selskapets infrastruktur ble omdirigert til en adresse finansiert gjennom Tornado Cash. Beløpet som faktisk ble overført, er svært lite: omtrent 0,36 ETH, under 1 000 dollar. Det samme kan ikke sies om beløpet som trekkes ut av Lido som en sikkerhetsforanstaltning. En forsker anslår beløpet til rundt 523 000 ETH, omtrent 1,4 milliarder dollar.

Jeg kommer stadig tilbake til det forholdet. En lekkasje man kunne dekke med en måneds kaffekonsum, og en andel på 1,4 milliarder dollar blir trukket ut av det største likvide staking-protokollet på Ethereum. Det viser hvor lite MetaMask ønsker å spekulere i hva angriperen kunne få tak i.

Hva MetaMask og Lido har sagt

30. september la MetaMask ut et innlegg på X om at de håndterte en sikkerhetshendelse som berørte deler av infrastrukturen deres. De opplyste at de ikke hadde funnet noen umiddelbar trussel mot MetaMask-lommebøker, og at de trakk seg ut av berørte validatorer innenfor sine ikke-depotbaserte staking-operasjoner. En brukeroppdatering på metamask.io fulgte.

Lido bekreftet uttredene på X og i en kunngjøring i styringsforumet, og beskrev årsaken som et brudd på infrastrukturen som er under etterforskning. MetaMask Staking er det tidligere Consensys Staking, en nodeoperatør innenfor Lido. De siste berørte validatorene forventes å fullføre uttredenen, men ikke fullstendig tilbaketrekning, innen utgangen av 7. oktober.

Å få tilbake ETH-en er den tidkrevende delen. Lido opplyste at uttrådte innsatser returneres til protokollen gradvis, og at hele syklusen med uttreden, uttak og gjeninntreden kan ta opptil 45 dager på grunn av Ethereums lange kø for opptak. De advarte også om tapte belønninger og mulige straffer for nedetid for validatorer som ble tatt offline før uttredenen var fullført.

Begge selskapene understreket at MetaMask ikke har uttaksnøkler for kundenes innsats. Lido ba stETH-innehavere om å ikke gjøre noe og pekte på sitt nettverk av nodeoperatører og et reservefond på mer enn 6 750 stETH.

Hva kjeden viser

De eneste offentlige tallene om selve tyveriet kommer fra en uavhengig forsker. Kaden sa på X at 19 MetaMask-validatorer hadde vunnet blokkbelønninger, og at 18 av disse utbetalingene gikk til en Tornado-finansiert adresse i stedet for den riktige gebyrmottakeren. Verken MetaMask eller Lido har bekreftet dette.

Gebyrmottakeren er avgjørende her. Det er adressen en validator angir for å motta prioritetsgebyrene og MEV fra blokkene den foreslår. For at 18 av 19 utbetalinger skulle havne et annet sted, måtte noen ha vært i stand til å endre den innstillingen, noe som peker mot validatorens konfigurasjon snarere enn noe på lommebokssiden. Det er min tolkning, ikke MetaMasks. Selskapet har ikke oppgitt hva som ble kompromittert.

Det er verdt å merke seg Kadens egne forbehold. Han sa at det var uklart om angriperen kunne endre gebyrmottakere på tvers av hele validatorsettet, og at de «sannsynligvis aldri hadde muligheten» til å ta ut staket ETH. Men avhengig av hvordan tilgang til signering ble oppnådd, bemerket han, kunne validatorer i prinsippet ha blitt bevisst utestengt. Det er sannsynligvis den egentlige årsaken til uttrekk av et så stort omfang.

Tallene stemmer ikke helt overens. Kadens anslag var på rundt 17 000 validatorer og 523 000 ETH, med 821 potensielt berørte validatorer som fortsatt ikke har trukket seg ut. AMBCrypto, som siterer Kaden, anslår totalen til nær 513 000 ETH. Data fra Validator Queue som de gjennomgikk, viste at omtrent 10 500 validatorer og 336 000 ETH forlot systemet i løpet av samme periode, selv om dette er et tall for hele markedet og ikke utelukkende MetaMask. Selve utmeldingskøen økte fra rundt 205 000 ETH til over 850 000 ETH i løpet av to dager, ifølge AMBCrypto.

Kjedereaksjoner, så langt begrenset

Aave-grunnlegger Stani Kulechov sa at utlånsprotokollen fulgte med sammen med Lido og ikke så noen innvirkning på sine markeder, der stETH er en mye brukt sikkerhetsaktiva. Guy Young fra Ethena sa at eiendelene som støtter USDe ikke har noen direkte eksponering mot stETH eller andre likvide staking-tokens. ETH selv holdt seg under 2 800 dollar gjennom hele kaoset.

Linea, L2-løsningen utviklet av Consensys, opplyste 2. oktober at validatorer som støtter deres «Yield Boost»-hvelv også ble trukket ut, og at hvelvets midler og kontroll ikke ble påvirket.

Lubins uttalelse: lommebøkene er trygge, detaljer blir ikke offentliggjort

Joseph Lubin, grunnlegger av Consensys, skrev på X 2. oktober at det, basert på etterforskningen så langt, ikke er noe som tyder på at MetaMask-lommebøker eller kundenes midler i lommebøkene ble berørt, og at brukerne har sine egne nøkler. Når det gjelder de manglende detaljene, var han klar: «Vi diskuterer ikke detaljene i en pågående hendelse offentlig.»

Det er greit nok som retningslinje for håndtering av hendelser. Det etterlater også staking-markedet akkurat der det startet, med 523 000 ETH i bevegelse og ingen offentlig forklaring.

Ikke den første Lido-operatøren som trekker seg

Kiln trakk seg ut av alle sine Ethereum-validatorer i september 2025 etter at selskapets administrerende direktør varslet om en potensiell sikkerhetsbrudd i infrastrukturen. Consensys Staking, det tidligere navnet på MetaMask Staking, trakk en gang ved et uhell 125 Lido-validatorer ut i 2023 etter en misforståelse, ifølge Crypto Briefing. Det var en feil, ikke et angrep, men det viser hvor raskt en enkelt operatør kan flytte store mengder staking.

En rapport datert 6. oktober sier at uttrekkene nesten er fullført, og at MetaMask Staking vil publisere en etteranalyse i løpet av de kommende ukene. Jeg har ikke kunnet bekrefte dette gjennom MetaMasks egne kanaler, så betrakt dette som ubekreftet. Inntil en etteranalyse foreligger, er det eneste konkrete tallet i denne saken 0,36 ETH, og hva som faktisk ble kompromittert, er fortsatt et åpent spørsmål.