MetaMask retira validadores de Lido tras un incidente de seguridad en su infraestructura

MetaMask ha iniciado la salida de sus validadores de Ethereum del protocolo de staking Lido como medida preventiva ante un incidente de seguridad que afecta a parte de su infraestructura. La compañía asegura que no ha detectado una amenaza inmediata para los monederos MetaMask. MetaMask indicó que está gestionando el problema internamente, con apoyo de socios externos y asesores de ciberseguridad, mientras retira los validadores implicados en su operativa de staking no custodial. Lido atribuyó el episodio a un compromiso de infraestructura que sigue bajo investigación. Según Lido, los validadores relevantes ya han empezado el proceso de salida y se esperaba que el último hubiera completado la salida, aunque todavía no la retirada total, antes de que terminara el 7 de octubre. La plataforma advirtió de que estas salidas previsiblemente implicarán pérdida de recompensas y que podrían producirse penalizaciones por inactividad si los validadores quedan desconectados en los próximos días. Lido añadió que el stake que salga debería ir retornando al protocolo de forma gradual a través del ciclo de salida, retirada y reentrada. Estimó que ese ciclo puede prolongarse hasta 45 días por la larga cola de entrada de Ethereum. Ninguna de las dos firmas precisó si hay validadores operados por MetaMask fuera de Lido afectados. Ambas recalcaron que el acuerdo de staking es no custodial y que MetaMask no controla las claves de retirada del stake de los clientes. Lido afirmó que los titulares de stETH no necesitan realizar ninguna acción. Como amortiguadores ante posibles disrupciones, Lido señaló su diversidad de operadores de nodos y un fondo de reserva ad hoc superior a 6.750 stETH. Un análisis onchain del investigador Kaden, no confirmado por ninguna de las compañías, concluyó que 19 validadores de MetaMask obtuvieron recompensas de bloque. Kaden sostuvo que 18 de esos pagos se enviaron a una dirección financiada a través del mezclador Tornado Cash en lugar del receptor de comisiones correcto, por un total aproximado de 0,36 ETH, por debajo de 1.000 dólares a precios actuales. El análisis de Kaden sugiere que, como precaución, estarían saliendo en torno a 17.000 validadores que custodian unos 523.000 ETH, valorados en alrededor de 1.400 millones de dólares. También identificó 821 validadores potencialmente afectados que aún no habían iniciado la salida. Kaden indicó que no está claro si un atacante podría modificar los receptores de comisiones en todo el conjunto. El investigador añadió que, probablemente, el atacante nunca tuvo capacidad para retirar el ETH en staking, aunque los validadores podrían, en teoría, sufrir slashing deliberado dependiendo de cómo se hubiera obtenido el acceso a la firma. El fundador de Aave, Stani Kulechov, dijo que Aave está siguiendo la situación con Lido y que los mercados de Aave no se han visto afectados. El fundador de Ethena, Guy Young, señaló que los activos que respaldan su dólar sintético USDe no tienen actualmente exposición directa a stETH ni a ningún otro token de liquid staking, por lo que no espera impacto. Kiln retiró todos sus validadores de Ethereum en septiembre de 2025 tras detectar lo que su consejero delegado describió como un posible compromiso de infraestructura. Ni MetaMask ni Lido han detallado qué componente fue comprometido, cómo se produjo el incidente o quién sería responsable. La investigación continúa y ambas entidades han prometido nuevas actualizaciones.