MetaMask avvia l'uscita dei validator da Lido dopo un incidente di sicurezza sull'infrastruttura

MetaMask ha iniziato a far uscire i propri validator Ethereum dal protocollo di staking Lido come misura precauzionale, mentre prosegue un incidente di sicurezza che riguarda una parte della sua infrastruttura. La società ha riferito di non aver riscontrato minacce immediate per i wallet MetaMask e di star gestendo il problema internamente con il supporto di partner esterni e consulenti di sicurezza, procedendo nel contempo alla dismissione dei validator coinvolti nelle sue attività di staking non-custodial. Lido ha indicato come origine un'alterazione dell'infrastruttura attualmente sotto indagine. Secondo il protocollo, i validator interessati hanno avviato l'uscita e l'ultimo dovrebbe aver completato l'exit, pur non essendo ancora totalmente "withdrawn", entro la fine del 7 ottobre. Lido ha avvertito che l'operazione comporterà verosimilmente la perdita di ricompense e potrebbe generare penalità per inattività se alcuni validator dovessero andare offline nei prossimi giorni. La quota uscita dovrebbe rientrare gradualmente nel protocollo tramite il ciclo di exit, withdrawal e rientro, un processo che Lido stima fino a 45 giorni a causa della lunga coda di ingresso su Ethereum. Nessuna delle due società ha chiarito se siano coinvolti anche validator gestiti da MetaMask al di fuori di Lido. Entrambe hanno ribadito che l'accordo di staking è non-custodial e che MetaMask non detiene le chiavi di prelievo della quota dei clienti. Lido ha aggiunto che i possessori di stETH non devono intraprendere alcuna azione e ha richiamato la propria base diversificata di node operator e un fondo di riserva ad hoc superiore a 6.750 stETH come cuscinetti contro eventuali disservizi. Secondo un'analisi onchain del ricercatore Kaden, non confermata dalle società, 19 validator MetaMask avrebbero ottenuto ricompense di blocco. Kaden sostiene che 18 di quei pagamenti sarebbero finiti a un indirizzo finanziato tramite il mixer Tornado Cash, anziché al corretto destinatario delle fee, per un totale di circa 0,36 ETH, pari a meno di 1.000 dollari ai prezzi attuali. La stessa analisi indica che, a scopo precauzionale, sarebbero in uscita circa 17.000 validator con complessivamente 523.000 ETH, valutati intorno a 1,4 miliardi di dollari. L'analisi ha inoltre individuato 821 validator potenzialmente colpiti che non avevano ancora avviato l'exit. Kaden ha detto che non è chiaro se un attaccante possa modificare i destinatari delle fee sull'intero insieme; ritiene inoltre improbabile che l'attaccante abbia mai avuto la possibilità di prelevare l'ETH in staking, anche se i validator potrebbero in teoria essere deliberatamente soggetti a slashing a seconda di come sia stato ottenuto l'accesso alla firma. Sul fronte del mercato, il fondatore di Aave Stani Kulechov ha dichiarato che Aave sta monitorando la situazione con Lido e che i mercati di Aave non risultano impattati. Il fondatore di Ethena, Guy Young, ha affermato che gli asset a garanzia del dollaro sintetico USDe non hanno al momento esposizione diretta a stETH o ad altri token di liquid staking e che non si attende effetti. Un precedente citato riguarda Kiln, che a settembre 2025 ha fatto uscire tutti i propri validator Ethereum dopo aver individuato quello che il suo amministratore delegato ha definito un potenziale compromesso dell'infrastruttura. MetaMask e Lido non hanno fornito dettagli su cosa sia stato compromesso, sulle modalità dell'incidente o sui responsabili. L'indagine è in corso e sono stati promessi ulteriori aggiornamenti.