MetaMask виводить валідатори з Lido на тлі інциденту з безпекою інфраструктури

MetaMask розпочала вихід своїх валідаторів Ethereum із протоколу стейкінгу Lido як запобіжний крок на час розслідування інциденту, що зачепив частину її інфраструктури. У компанії заявили, що наразі не бачать безпосередньої загрози для гаманців MetaMask. Проблему опрацьовують внутрішні команди разом із зовнішніми партнерами та радниками з кібербезпеки; паралельно в некастодіальних стейкінгових операціях виводять валідатори, яких може стосуватися інцидент. Lido назвала причиною "компрометацію інфраструктури", яка перебуває на етапі перевірки. За даними протоколу, відповідні валідатори вже почали вихід, а останні мають завершити вихід (але ще не повністю вивести кошти) до кінця 7 жовтня. У Lido попередили, що достроковий вихід, імовірно, призведе до втрати винагород, а в разі відключення валідаторів у найближчі дні можливі штрафи за простої. Повернення виведеного стейку до протоколу відбуватиметься поступово через цикл виходу, виведення та повторного входу; у Lido оцінили його тривалість до 45 днів через розширену чергу входу в Ethereum. Жодна зі сторін не уточнила, чи торкнулося це валідаторів MetaMask, що працюють в інших середовищах. Обидві компанії підкреслили, що домовленість зі стейкінгу є некастодіальною, а MetaMask не володіє ключами виведення для клієнтського стейку. У Lido додали, що власникам stETH не потрібно вживати жодних дій, і вказали на диверсифікований пул операторів нод та резервний фонд понад 6"750 stETH як буфери на випадок збоїв. Дослідник Kaden, посилаючись на ончейн-аналіз, який жодна зі сторін не підтвердила, повідомив, що 19 валідаторів MetaMask отримали винагороди за блоки. За його даними, 18 із цих виплат були спрямовані на адресу, профінансовану через міксер Tornado Cash, а не на коректного отримувача комісій; загальна сума становила близько 0,36 ETH, або менше ніж $1"000 за поточними цінами. Аналіз також припускає, що як запобіжний захід можуть виводитися близько 17"000 валідаторів із приблизно 523"000 ETH, що оцінюється орієнтовно в $1,4 млрд. Окремо було ідентифіковано 821 потенційно вразливий валідатор, який на той момент ще не розпочав вихід. Kaden зазначив, що незрозуміло, чи здатен зловмисник змінювати отримувачів комісій у всьому наборі валідаторів. Водночас, за його оцінкою, нападник, імовірно, не мав можливості вивести застейканий ETH, хоча в принципі валідатори можуть бути навмисно "заслешені" залежно від того, як було отримано доступ до підписання. Засновник Aave Стані Кулечов повідомив, що протокол стежить за ситуацією разом із Lido і що ринки Aave не постраждали. Засновник Ethena Гай Янг заявив, що активи, які забезпечують синтетичний долар USDe, наразі не мають прямої експозиції до stETH чи будь-якого іншого токена ліквідного стейкінгу, тож впливу він не очікує. Для контексту: у вересні 2025 року Kiln вивела всі свої валідатори Ethereum після того, як її генеральний директор назвав виявлене "потенційною компрометацією інфраструктури". MetaMask і Lido поки не розкрили, що саме було скомпрометовано, яким чином це сталося та хто може стояти за інцидентом. Розслідування триває, компанії пообіцяли надати подальші оновлення.