MetaMaskのバリデーター退出でイーサリアム出金待ちが9カ月ぶり高水準に

MetaMaskは、取引手数料（フィー）報酬が不正な宛先に付け替えられた侵害事案を受け、イーサリアムのバリデーター運用からの退出を進めている。 オンチェーンのセキュリティ研究者Kadenによると、MetaMaskが運用していた約1万7,000のバリデーター（合計約52万3,000ETH）を予防的に退出させた。Kadenは、ブロック提案を行った19バリデーターのうち18でフィー報酬がTornado Cash経由で資金提供されたアドレスに流用されていたとの分析結果を示し、攻撃者が得た額は約0.36ETHにとどまるようだと述べた。 MetaMaskはKadenの数値を確認しておらず、原因も公表していない。一方で、インフラの一部が侵害されたこと、注意喚起の措置として影響を受けたバリデーターの退出を進め、顧客・パートナー・セキュリティ助言者と連携して対応していることを明らかにした。MetaMaskは、現時点でMetaMaskウォレットへの差し迫った脅威は確認していないとしている。 同社はステーキング運用がノンカストディアルで、顧客の出金キー（withdrawal keys）を管理していないと説明。攻撃者がバリデーターレベルの権限しか持たない場合、元本のステークを引き出すことはできないが、署名キーが侵害されていれば悪用によりペナルティの対象になり得る。 Kadenは、影響の可能性があるバリデーターのうち821はまだ退出しておらず、その中にはフィー報酬が流用されたとされる3バリデーターも含まれると指摘。これらが稼働を続ける理由や、攻撃者が追加でフィー受取先を変更できるかは不明という。MetaMaskは、影響を受けたバリデーター数、署名キー流出の有無、スラッシング発生の有無を開示していない。 Validator Queueのデータでは、水曜日時点で約77万3,447ETHがイーサリアムのバリデーター集合からの退出待ちとなり、退出待機時間は13日10時間に達した。さらに、出金スイープ（withdrawal sweep）の遅れは7.6日と見積もられている。今回の滞留は2025年12月以来の大きさで、5月の前回急増局面（約47万6,000ETH）も上回った。 イーサリアムは、プルーフ・オブ・ステーク（PoS）合意形成の安定性を損なう急激な変動を避けるため、ステークの参加・退出速度に上限を設けている。Validator Queueによれば、退出の処理レートは1エポック当たり256ETHで、1エポックは約6.4分。推定7.6日の出金スイープ遅延は、退出したバリデーターが出金可能（withdrawable）になった後に始まり、イーサリアムが指定の出金アドレスへ残高を移転する。 MetaMaskがバリデーターを運用するLidoは、退出から出金、将来的な再参加までの一連のプロセスに最大45日かかる可能性があると見ている。復帰時には参加キューが必要となり、現在は27日待ちとなっている。