MetaMask retire ses validateurs de Lido sur fond d'incident de sécurité infrastructure

MetaMask a commencé à retirer ses validateurs Ethereum du protocole de staking Lido, par mesure de précaution, alors qu'un incident de sécurité touche une partie de son infrastructure. L'éditeur précise ne constater "aucune menace immédiate" pour les portefeuilles MetaMask. Selon MetaMask, la résolution est menée en interne avec l'appui de partenaires externes et de conseillers en cybersécurité, tandis que les validateurs concernés sont sortis des opérations de staking non-custodiales. Lido évoque de son côté une compromission d'infrastructure en cours d'investigation. Lido indique que les validateurs visés ont commencé leur sortie et prévoit que le dernier aura quitté (sans être totalement retiré) d'ici la fin du 7 octobre. Le protocole avertit que ces sorties devraient réduire les récompenses et pourraient entraîner des pénalités de disponibilité si des validateurs se retrouvaient hors ligne dans les prochains jours. La mise en jeu sortie devrait revenir progressivement au protocole via le cycle sortie, retrait et réentrée, un processus pouvant durer jusqu'à 45 jours en raison de la longue file d'attente d'entrée sur Ethereum. MetaMask et Lido n'ont pas précisé si des validateurs opérés par MetaMask en dehors de Lido étaient concernés. Les deux sociétés rappellent que l'arrangement de staking est non-custodial et que MetaMask ne détient pas les clés de retrait des mises des clients. Lido ajoute que les détenteurs de stETH n'ont aucune démarche à effectuer et met en avant la diversité de ses opérateurs de nœuds, ainsi qu'un fonds de réserve ad hoc de plus de 6'50 stETH, comme amortisseurs en cas de perturbation. D'après une analyse on-chain du chercheur Kaden, non confirmée par les deux entreprises, 19 validateurs MetaMask auraient perçu des récompenses de blocs. Kaden affirme que 18 de ces paiements ont été envoyés à une adresse financée via le mixeur Tornado Cash, plutôt qu'au bon destinataire des frais, pour un total d'environ 0,36 ETH, soit moins de 1'000 dollars aux cours actuels. La même analyse suggère qu'environ 17'000 validateurs, représentant quelque 523'000 ETH (environ 1,4 milliard de dollars), seraient en cours de sortie à titre préventif, et identifie 821 validateurs potentiellement concernés qui n'auraient pas encore amorcé leur retrait. Kaden indique qu'il reste incertain qu'un attaquant puisse modifier les destinataires des frais à l'échelle de l'ensemble. Il estime aussi qu'il est probable que l'attaquant n'ait jamais eu la capacité de retirer les ETH stakés, même si des validateurs pourraient, en théorie, être volontairement "slashed" selon la manière dont l'accès de signature aurait été obtenu. Le fondateur d'Aave, Stani Kulechov, a déclaré qu'Aave suivait la situation avec Lido et que les marchés Aave n'avaient pas été affectés. Le fondateur d'Ethena, Guy Young, a indiqué que les actifs adossant son dollar synthétique USDe n'avaient, à ce stade, aucune exposition directe au stETH ni à un autre token de liquid staking, et qu'il n'anticipait pas d'impact. À titre de précédent, Kiln avait retiré l'ensemble de ses validateurs Ethereum en septembre 2025 après avoir identifié ce que son directeur général avait qualifié de compromission potentielle de l'infrastructure. Ni MetaMask ni Lido n'ont détaillé ce qui a été compromis, le mode opératoire ou l'identité des responsables. L'enquête se poursuit et de nouvelles mises à jour ont été annoncées.