Retrait massif de validateurs MetaMask : la file d'attente de sortie sur Ethereum grimpe à un plus haut de neuf mois

MetaMask procède à la sortie de validateurs Ethereum après un incident ayant redirigé des récompenses de frais de transaction. Selon le chercheur en sécurité on-chain Kaden, environ 17 000 validateurs opérés par MetaMask, représentant près de 523 000 ETH, auraient été sortis de manière préventive. D'après Kaden, une analyse indique que les récompenses de frais de 18 validateurs sur 19 ayant proposé des blocs auraient été détournées vers une adresse alimentée via Tornado Cash. Le montant capté par l'attaquant ne serait que d'environ 0,36 ETH. MetaMask n'a pas confirmé ces chiffres ni précisé l'origine de l'incident. MetaMask a déclaré qu'une partie de son infrastructure avait été compromise et qu'il s'agissait d'une mesure de précaution consistant à sortir les validateurs concernés, en coordination avec des clients, des partenaires et des conseillers en sécurité. Le groupe affirme n'avoir identifié aucune menace immédiate pour les portefeuilles MetaMask. MetaMask rappelle que son activité de staking est non-custodial et qu'il ne contrôle pas les clés de retrait des clients. Un attaquant disposant uniquement d'un accès au niveau des validateurs ne pourrait pas retirer la mise sous-jacente. En revanche, des clés de signature compromises pourraient exposer les validateurs à des pénalités en cas d'utilisation abusive. Kaden indique que 821 validateurs potentiellement affectés n'avaient pas encore été sortis, dont trois dont les récompenses de frais auraient été détournées. Les raisons de leur maintien en activité restent inconnues, tout comme la capacité de l'attaquant à modifier d'autres destinataires de frais. MetaMask n'a pas communiqué le nombre exact de validateurs touchés, ni si des clés de signature ont été exposées, ni si des sanctions de type slashing ont eu lieu. Selon les données de Validator Queue, environ 773 447 ETH attendaient mercredi de sortir de l'ensemble des validateurs d'Ethereum, ce qui implique un délai de sortie estimé à 13 jours et 10 heures. Validator Queue évalue à 7,6 jours supplémentaires le délai de "withdrawal sweep". Ce niveau de congestion est le plus élevé depuis décembre 2025 et dépasse les quelque 476 000 ETH en attente observés lors d'un précédent pic en mai, d'après Validator Queue. Ethereum limite la vitesse à laquelle la mise peut entrer ou sortir du set de validateurs afin d'éviter des variations brutales susceptibles de déstabiliser son mécanisme de consensus en proof-of-stake. Validator Queue fait état d'un rythme de traitement des sorties de 256 ETH par epoch, chaque epoch durant environ 6,4 minutes. Le "withdrawal sweep" estimé à 7,6 jours commence une fois les validateurs sortis devenus éligibles au retrait. Ethereum transfère alors les soldes vers les adresses de retrait désignées des validateurs concernés. Chez Lido, où MetaMask opère des validateurs, l'estimation est que l'ensemble du processus de sortie, retrait puis réentrée éventuelle peut prendre jusqu'à 45 jours. Les validateurs qui reviennent sur Ethereum doivent aussi composer avec une file d'attente d'entrée actuellement longue de 27 jours.