MetaMask zieht betroffene Staking-Validatoren nach Sicherheitsvorfall ab

MetaMask hat nach der öffentlichen Meldung eines Sicherheitsvorfalls in Teilen seiner Infrastruktur am 30. September damit begonnen, betroffene Ethereum-Validatoren aus dem Betrieb zu nehmen. Nach Angaben von Lido sollen die letzten betroffenen MetaMask-Validatoren – abhängig von den Netzwerkbedingungen – bis zum 7. Oktober in den Exit-Status überführt werden. MetaMask erklärte, man reagiere auf einen laufenden Vorfall, der einen Teil der Infrastruktur betreffe, und arbeite zur Behebung mit externen Partnern und Sicherheitsberatern zusammen. Eine "unmittelbare Bedrohung für MetaMask-Wallets" sehe das Unternehmen nicht, nannte aber keine technischen Details zu den betroffenen Systemen. Vorsorglich werde der Exit der betroffenen Validatoren aus dem nicht-verwahrenden Staking-Angebot eingeleitet. Das Unternehmen betonte zudem das Noncustodial-Modell: MetaMask halte keine Auszahlungsschlüssel der Kunden. Validator-Betreiber kontrollierten damit nicht die Schlüssel, mit denen die zugrunde liegenden Mittel abgezogen werden. Die am 1. Oktober verfügbare öffentliche Information enthielt keine Angaben zur Angriffsmethode, zur Zahl der betroffenen Validatoren, zum involvierten ETH-Volumen oder dazu, ob Daten abgeflossen sind. MetaMask kündigte weitere Updates im Verlauf der Untersuchung an und grenzte die betroffene Infrastruktur explizit vom Wallet-Produkt ab. Es gebe keine Hinweise auf eine Kompromittierung von Wallets oder Verluste bei Wallet-Nutzern. Betroffen ist MetaMask Staking, früher Consensys Staking. Consensys Software Inc. hatte im September angekündigt, künftig unter der Marke MetaMask aufzutreten und das Protokoll- sowie institutionelle Infrastrukturgeschäft in ein neu gegründetes Consensys-Unternehmen auszugliedern. Der Abschluss dieser Abspaltung wird bis Ende 2026 erwartet. Lido veröffentlichte nach MetaMasks Hinweis eine detailliertere operative Einordnung. Ein Lido-Vertreter schrieb am 30. September im Governance-Forum im Rahmen der Sicherheitsmeldung, MetaMask Staking habe nach einer "Infrastrukturkompromittierung" vorsorgliche Maßnahmen ergriffen. Validatoren, die von MetaMask Staking betrieben und im Lido-Protokoll eingesetzt werden, würden seither aussteigen. Lido erwartet, dass die letzte betroffene Tranche bis Ende des 7. Oktober die Exit-Phase erreicht, auch wenn bis dahin nicht zwingend alle Mittel vollständig abgezogen sind. Auszahlungen bei Ethereum-Validatoren erfolgen mehrstufig. Lido zufolge fließt ETH aus den von MetaMask betriebenen Validatoren schrittweise in das Protokoll zurück, sobald jeder Validator Exit, Auszahlung und anschließenden Wiedereintritt durchlaufen hat. Wegen der langen Entry-Queue bei Ethereum könne der Gesamtprozess bis zu rund 45 Tage dauern. Für stETH-Nutzer gelte: "stETH holder need take no action." Lido weist darauf hin, dass der Exit-Prozess zu entgangenen Staking-Erträgen führen kann. Sollten betroffene Validatoren vor Abschluss des formalen Exits offline gehen, könnten Downtime-Strafen anfallen. Das Protokoll sieht diese Schritte als Teil einer präventiven Risikoreduktion und erklärte, es gebe keine Hinweise darauf, dass die Validatoren geslasht worden seien. Zur Abfederung operativer Störungen verweist Lido auf seine dezentrale Operator-Struktur sowie einen temporären Reservefonds von über 6.750 stETH; im Staking-Modul seien aktuell mehr als 600 Operatoren aktiv. Im Juli hatte Lido zudem das Validator Infrastructure Upgrade (Curated Module v2) gestartet, das höhere effektive Validator-Balances unterstützt und neue Mechanismen für Operator-Verantwortung und Slashing einführt. MetaMask unterstrich erneut die Trennung zwischen Validator-Betrieb und Kontrolle der Vermögenswerte. Die Staking-Infrastruktur signiere Validator-Aufgaben und halte die Node-Infrastruktur aufrecht, verwalte aber nicht die Auszahlungsschlüssel der Kunden. In der eigenen Dokumentation beschreibt MetaMask Validator-Staking als Selfcustodial: Nutzer zahlen ETH in den Beacon-Deposit-Contract von Ethereum ein und behalten die Kontrolle über Auszahlungen, während MetaMask den Node-Betrieb übernimmt. Lido arbeitet mit einer ähnlichen Arbeitsteilung: Laut technischer Dokumentation werden die Withdrawal-Credentials durch das Protokoll gesetzt, während Operatoren die Signing-Keys für die Validator-Aufgaben erzeugen; die Withdrawal-Credentials legen fest, wohin ausgezahltes ETH gesendet wird. MetaMask machte keine Angaben dazu, ob Signing-Keys im Zuge des Vorfalls kompromittiert wurden, und nannte auch keine Hinweise auf Slashing, gestohlene Staking-Kundengelder oder unautorisierte Auszahlungen. Die in Lidos Forumseintrag genannten möglichen Downtime- und Netzwerkstrafen werden als Risiken einer vorbeugenden Reaktion beschrieben, nicht als bestätigte Verluste. Der öffentlich verfügbare Stand beschränkt sich damit auf den Infrastrukturvorfall, den Validator-Exit und die von beiden Unternehmen kommunizierten Schutzmaßnahmen. MetaMask spricht von laufenden Remediation-Maßnahmen mit externen Sicherheitsberatern; Lido von einer "umfassenden" Untersuchung mit weiteren Updates. Auch Aave äußerte sich: Die Märkte hätten während der Untersuchung normal funktioniert. Gründer Stani Kulechov erklärte am 1. Oktober, er beobachte das MetaMask-Staking-Ereignis und die Entwicklungen rund um Lido nach den öffentlich sichtbaren Exit-Meldungen. Aaves Märkte seien nicht betroffen gewesen, die Protokollfunktionen liefen regulär; bestätigte Berichte über Störungen im Zusammenhang mit dem MetaMask-Vorfall gebe es nicht. Die Einordnung ist relevant, da stETH und andere Ethereum-Staking-Assets breit in DeFi genutzt werden, etwa in Lending-Märkten. Einen Zeitplan für den Abschluss der Sicherheitsuntersuchung nannte MetaMask bis zum 1. Oktober nicht. Lidos Zeitachse sieht vor, dass die letzte betroffene MetaMask-Validator-Tranche bis Ende 7. Oktober den Exit-Status erreicht; Auszahlungen und Wiedereintritt laufen danach weiter, insgesamt über etwa 45 Tage. MetaMask teilte mit, man bleibe während der laufenden Behebung in Kontakt mit Kunden, Partnern und externen Sicherheitsberatern und werde zu gegebener Zeit weitere Informationen veröffentlichen.