Incidente de segurança na MetaMask leva à saída de cerca de 17 mil validadores de Ethereum

A MetaMask, uma das principais carteiras de criptomoedas, informou que enfrentou um incidente de segurança em 30 de setembro e iniciou a saída preventiva de um grande volume de validadores de Ethereum (ETH). A empresa disse que investiga e corrige o problema com apoio de parceiros externos e consultores de segurança, sem detalhar a natureza da falha, os sistemas afetados ou o vetor de acesso inicial. Segundo a MetaMask, não há indícios de ameaça imediata às carteiras dos usuários. A indicação é de que o episódio atingiu a infraestrutura que dá suporte às operações de staking, e não as carteiras autocustodiais dos clientes. Em publicação no X, a empresa afirmou: "Estamos respondendo a um incidente de segurança que afeta parte da nossa infraestrutura. No momento, não identificamos ameaça imediata às carteiras MetaMask. Como precaução, estamos saindo proativamente dos validadores afetados dentro de nossas operações de staking não custodial, em coordenação com clientes, parceiros e consultores de segurança". A saída dos validadores, segundo a companhia, busca reduzir riscos operacionais e de nível de rede enquanto a apuração segue. Validadores no Lido podem gerar impacto financeiro Entre os validadores afetados estão validadores de Ethereum operados via o protocolo Lido. O Lido informou que a MetaMask Staking começou a retirar os validadores relevantes como medida preventiva após uma investigação sobre comprometimento de infraestrutura. De acordo com atualização do Lido, a retirada pode resultar em penalidades por indisponibilidade se os validadores forem desligados antes de concluir o processo de saída. Pelas estimativas atuais, os últimos validadores devem completar a etapa de saída até o fim de 7 de outubro de 2026, embora isso não signifique que o ETH terá sido totalmente sacado nessa data. O Lido afirmou: "Essas etapas incluem a saída de seus validadores de Ethereum (ETH) no protocolo Lido e provavelmente resultarão em recompensas não recebidas, além de possíveis penalidades por indisponibilidade caso os validadores sejam desligados em breve para reduzir riscos relacionados a potenciais penalidades de rede. Os validadores relevantes iniciaram o processo de saída, com previsão de que os últimos validadores sejam retirados (mas não totalmente sacados) até o fim de 7 de outubro de 2026". O protocolo acrescentou que detentores de staked Ethereum (stETH) não precisam tomar nenhuma ação e que o ETH associado aos validadores operados pela MetaMask Staking deve retornar gradualmente ao protocolo à medida que os validadores avancem pelas etapas de saída, saque e reentrada. O ciclo completo pode levar até cerca de 45 dias. O Lido também disse que sua rede diversificada de operadores de nós e outros mecanismos de segurança foram desenhados para conter interrupções nas operações normais do protocolo. Entre as medidas mencionadas, está um fundo de reserva ad hoc com mais de 6.750 stETH. Grandes transferências de ETH chamam atenção Após a divulgação, uma movimentação de grande porte também ganhou destaque. O monitor on-chain Lookonchain relatou que uma carteira atribuída ao cofundador do Ethereum, Joseph Lubin, transferiu 133.298 ETH, avaliados em aproximadamente US$ 356 milhões, para um novo endereço. Não ficou claro se a transação tem relação com a resposta de segurança da MetaMask. Diversos pontos seguem sem confirmação. A MetaMask não informou quantos validadores foram afetados, quanto ETH estava envolvido, se o incidente decorreu de acesso não autorizado ou de vulnerabilidade de software, nem se a investigação identificou atividade de atacante. O pesquisador independente Kaden estimou que cerca de 0,36 ETH em pagamentos de produção de blocos teria sido desviado após 18 de 19 validadores operados pela MetaMask que receberam esse tipo de recompensa enviarem os valores para um endereço inesperado. Dados apresentados por Kaden sugerem que aproximadamente 17 mil validadores foram retirados, o que representaria cerca de 523 mil ETH. Ele ressaltou, porém, que ainda é desconhecido se o atacante teria capacidade de alterar todos os destinatários de taxas. O pesquisador também afirmou que, no momento da publicação, três validadores identificados como afetados ainda não haviam sido retirados por razões não esclarecidas. Segundo ele: "17k validadores saíram proativamente, 523k ETH no total, não se sabe se o atacante tinha capacidade de mudar todos os destinatários de taxas. Parece que 3 dos validadores explorados ainda não saíram e que 821 validadores potencialmente impactados no total ainda não saíram, não está claro por quê". O episódio reforça a diferença entre custódia de carteiras e infraestrutura de staking. Uma violação envolvendo hospedagem de validadores, infraestrutura de assinatura, sistemas de monitoramento ou ambientes administrativos não implica automaticamente acesso às frases-semente, chaves privadas ou credenciais de saque dos ativos em staking dos usuários. Com a investigação ainda em andamento, a extensão e a gravidade do caso permanecem indefinidas.