MetaMask zieht Lido-Validatoren ab – Vorsichtsmaßnahme nach Sicherheitsvorfall in Teilen der Infrastruktur

MetaMask fährt seine Ethereum-Validatoren im Staking-Protokoll Lido schrittweise herunter und leitet den Exit ein. Hintergrund ist ein laufender Sicherheitsvorfall, der Teile der Infrastruktur betrifft. Eine unmittelbare Gefahr für MetaMask-Wallets sieht das Unternehmen nach eigenen Angaben derzeit nicht. MetaMask erklärte, man arbeite intern sowie mit externen Partnern und Sicherheitsberatern an der Aufklärung und reagiere parallel in den eigenen non-custodial Staking-Services durch das Aussteigen der betroffenen Validatoren. Lido sprach von einer untersuchten Kompromittierung der Infrastruktur. Nach Angaben des Protokolls hätten die relevanten Validatoren bereits mit dem Exit begonnen; der letzte Exit solle bis zum Ende des 7. Oktober abgeschlossen sein – ein vollständiger Withdrawal stehe zu diesem Zeitpunkt voraussichtlich noch aus. Lido wies darauf hin, dass die Exits mit entgangenen Rewards verbunden seien und bei Offline-Phasen in den kommenden Tagen auch Downtime-Strafen drohen könnten. Der ausgetretene Stake werde voraussichtlich über den üblichen Exit-, Withdrawal- und Reentry-Zyklus nach und nach wieder in das Protokoll zurückkehren. Aufgrund der verlängerten Entry-Queue bei Ethereum bezifferte Lido diesen Prozess auf bis zu 45 Tage. Ob von MetaMask betriebene Validatoren außerhalb von Lido betroffen sind, ließen beide Unternehmen offen. Beide betonten, dass die Staking-Konstruktion non-custodial sei und MetaMask keine Withdrawal-Keys für Kundeneinlagen halte. stETH-Holder müssten keine Maßnahmen ergreifen. Lido verwies zudem auf die breite Basis an Node-Operatoren sowie einen ad hoc Reservefonds von mehr als 6.750 stETH als Puffer gegen mögliche Störungen. Eine Onchain-Analyse des Researchers Kaden, die weder MetaMask noch Lido bestätigten, kommt zu dem Ergebnis, dass 19 MetaMask-Validatoren Block-Rewards erzielt hätten. Laut Kaden seien 18 dieser Zahlungen nicht an den korrekten Fee-Recipient gegangen, sondern an eine Adresse, die über den Tornado-Cash-Mixer finanziert worden sei – insgesamt rund 0,36 ETH, bei aktuellen Kursen unter 1.000 US-Dollar. Kadens Auswertung legt nahe, dass vorsorglich rund 17.000 Validatoren mit etwa 523.000 ETH im Wert von rund 1,4 Mrd. US-Dollar in den Exit geschickt werden. Zudem identifizierte die Analyse 821 potenziell betroffene Validatoren, die zu diesem Zeitpunkt noch nicht ausgetreten seien. Unklar bleibe, ob ein Angreifer die Fee-Recipients über den gesamten Bestand hinweg verändern könne. Kaden geht davon aus, dass ein Abzug des gestakten ETH vermutlich nie möglich war; Validatoren könnten aber prinzipiell gezielt "geslashed" werden – abhängig davon, wie Zugriff auf Signierschlüssel erlangt wurde. Aave-Gründer Stani Kulechov erklärte, Aave beobachte die Lage gemeinsam mit Lido; die Aave-Märkte seien bislang nicht betroffen. Ethena-Gründer Guy Young sagte, die Assets, die den synthetischen Dollar USDe besichern, hätten aktuell keine direkte Exponierung gegenüber stETH oder anderen Liquid-Staking-Token; Auswirkungen erwarte er nicht. Kiln hatte im September 2025 sämtliche Ethereum-Validatoren verlassen, nachdem man laut CEO eine potenzielle Infrastruktur-Kompromittierung festgestellt habe. Welche Systeme nun bei MetaMask oder Lido konkret kompromittiert wurden, wie der Vorfall ablief und wer dahintersteckt, blieb offen. Die Untersuchung läuft; weitere Updates wurden angekündigt.