MetaMask Mulai Keluar dari Validator Lido di Tengah Insiden Keamanan Infrastruktur

MetaMask mulai menarik validator Ethereum yang dioperasikannya dari protokol staking Lido sebagai langkah pencegahan, menyusul insiden keamanan yang sedang berlangsung dan memengaruhi sebagian infrastrukturnya. MetaMask menyatakan tidak menemukan ancaman langsung terhadap dompet MetaMask. Perusahaan mengatakan penanganan dilakukan secara internal bersama mitra eksternal serta penasihat keamanan, sambil mengeksekusi proses keluar untuk validator yang terdampak dalam layanan staking nonkustodialnya. Lido menyebut penyebabnya sebagai kompromi infrastruktur yang masih diselidiki. Menurut Lido, validator terkait sudah mulai keluar dan pihaknya memperkirakan validator terakhir telah keluar—meski belum sepenuhnya menarik dana—paling lambat akhir 7 Oktober. Lido memperingatkan proses keluar berpotensi memangkas imbal hasil dan dapat memicu penalti downtime bila validator sempat offline dalam beberapa hari ke depan. Lido menambahkan, stake yang sudah keluar diperkirakan akan kembali ke protokol secara bertahap melalui siklus keluar, penarikan, dan masuk kembali. Durasi siklus itu dipatok hingga 45 hari karena antrean masuk Ethereum yang panjang. MetaMask dan Lido tidak menyebut apakah validator MetaMask di tempat lain turut terdampak. Keduanya menegaskan pengaturan staking ini bersifat nonkustodial, dan MetaMask tidak memegang kunci penarikan untuk stake milik klien. Lido mengatakan pemegang stETH tidak perlu melakukan tindakan apa pun. Lido juga menyoroti keragaman operator node yang dimilikinya serta dana cadangan ad hoc lebih dari 6.750 stETH sebagai bantalan terhadap gangguan. Analisis onchain dari peneliti Kaden—yang belum dikonfirmasi kedua perusahaan—menyebut 19 validator MetaMask sempat memperoleh reward blok. Kaden mengatakan 18 dari pembayaran tersebut masuk ke alamat yang didanai lewat mixer Tornado Cash, bukan ke penerima fee yang semestinya, dengan total sekitar 0,36 ETH atau kurang dari US$1.000 pada harga saat ini. Kaden memperkirakan sekitar 17.000 validator yang menyimpan kira-kira 523.000 ETH senilai sekitar US$1,4 miliar sedang diproses keluar sebagai tindakan pencegahan. Analisis itu juga mengidentifikasi 821 validator yang berpotensi terdampak namun belum keluar. Kaden menilai belum jelas apakah penyerang bisa mengubah penerima fee untuk seluruh validator. Ia menambahkan, penyerang kemungkinan tidak pernah memiliki kemampuan menarik ETH yang di-stake, tetapi validator secara teori bisa sengaja dikenai slashing tergantung bagaimana akses penandatanganan (signing) diperoleh. Pendiri Aave Stani Kulechov mengatakan Aave memantau situasi bersama Lido dan pasar Aave belum terdampak. Pendiri Ethena Guy Young menyatakan aset yang menopang dolar sintetis USDe saat ini tidak memiliki eksposur langsung ke stETH atau token liquid staking lain, sehingga ia memperkirakan tidak ada dampak. Sebagai konteks, Kiln pernah menarik seluruh validator Ethereumnya pada September 2025 setelah menemukan apa yang disebut CEO-nya sebagai potensi kompromi infrastruktur. Hingga kini, MetaMask maupun Lido belum mengungkap apa yang dikompromikan, bagaimana insiden terjadi, atau siapa pelakunya. Investigasi masih berjalan dan pembaruan lanjutan dijanjikan.