MetaMask выводит валидаторы из Lido на фоне инцидента с безопасностью инфраструктуры

MetaMask начала выводить свои валидаторы Ethereum из стейкингового протокола Lido в качестве меры предосторожности на фоне продолжающегося инцидента, затронувшего часть ее инфраструктуры. В компании заявили, что признаков непосредственной угрозы кошелькам MetaMask не выявлено. По словам MetaMask, проблему устраняют внутренними силами при участии внешних партнеров и консультантов по безопасности, параллельно выводя затронутые валидаторы в рамках некастодиальных стейкинговых операций. Lido охарактеризовала первопричину как компрометацию инфраструктуры, которая находится в стадии расследования. В протоколе сообщили, что соответствующие валидаторы уже начали выход и ожидается, что последний из них завершит выход (но без полного вывода средств) к концу 7 октября. В Lido предупредили, что выход, вероятно, приведет к потере вознаграждений и может повлечь штрафы за простой, если валидаторы в ближайшие дни окажутся офлайн. По оценке Lido, выведенный стейк должен постепенно вернуться в протокол по циклу выход"—"вывод"—"повторный вход; на это может уйти до 45 дней из-за удлиненной очереди на вход в сети Ethereum. Ни MetaMask, ни Lido не уточнили, затронуты ли валидаторы MetaMask, работающие в других местах. Обе компании подчеркнули, что схема стейкинга является некастодиальной, а MetaMask не хранит ключи вывода для клиентского стейка. Lido также заявила, что держателям stETH не требуется предпринимать никаких действий. В протоколе отметили, что диверсифицированный набор операторов нод и специальный резервный фонд более чем на 6 750 stETH могут выступать буферами на случай сбоев. Исследователь Kaden, чьи ончейн-выводы не подтверждали ни MetaMask, ни Lido, сообщил, что 19 валидаторов MetaMask получали вознаграждения за блоки. По его данным, 18 из этих выплат ушли не корректному получателю комиссий, а на адрес, пополненный через миксер Tornado Cash; суммарно это около 0,36 ETH, или менее $1 000 по текущим ценам. Анализ Kaden предполагает, что в качестве предосторожности выводятся около 17 000 валидаторов с примерно 523 000 ETH стоимостью порядка $1,4 млрд. Также были выявлены 821 потенциально затронутый валидатор, который на момент анализа еще не начал выход. Kaden отметил, что остается неясным, мог ли злоумышленник менять получателей комиссий для всего набора валидаторов. По его оценке, у атакующего, вероятно, не было возможности вывести застейканный ETH, хотя теоретически валидаторы могли быть намеренно "слэшены" в зависимости от того, каким образом был получен доступ к подписанию. Основатель Aave Стани Кулечов заявил, что Aave следит за ситуацией вокруг Lido и что рынки Aave не пострадали. Основатель Ethena Гай Янг сообщил, что активы, обеспечивающие синтетический доллар USDe, сейчас не имеют прямой экспозиции к stETH или другим токенам ликвидного стейкинга, и он не ожидает последствий. Компания Kiln в сентябре 2025 года вывела все свои валидаторы Ethereum после выявления того, что ее генеральный директор назвал потенциальной компрометацией инфраструктуры. MetaMask и Lido пока не раскрывают, что именно было скомпрометировано, как это произошло и кто мог стоять за инцидентом. Расследование продолжается, компании пообещали дальнейшие обновления.