Криптокошельки уцелели, но деньги всё-таки ушли злоумышленнику. MetaMask подтвердила, что после взлома инфраструктуры MetaMask Staking атакующий перенаправил около 0,385 ETH вознаграждений валидаторов Ethereum. Основные средства клиентов, по заявлению компании, остались нетронутыми. Кража затронула выплаты за создание блоков, а не пользовательские депозиты.
Незаконный доступ к части инфраструктуры обнаружили 28 сентября 2026 года, а 30 сентября компания публично сообщила об атаке. Первые заявления не указывали на потери клиентских средств. В начале октября инцидент рассматривали прежде всего как угрозу работе валидаторов. Объём похищенных вознаграждений MetaMask раскрыла только 5 ноября, спустя более месяца после первоначального сообщения.
Атакующий получил доступ к системе, где централизованно хранились адреса получателей вознаграждений, и временно заменил часть записей. Когда валидаторы создавали новые блоки, положенные комиссии уходили на посторонний кошелёк. MetaMask утверждает, что подмену обнаружили и устранили в тот же день, но способ первоначального проникновения пока не раскрывает.
У валидатора Ethereum адрес для получения комиссий и реквизиты для вывода застейканных монет независимы. Подмена первого позволяет забрать доход от создания блоков, но не открывает доступ к основному депозиту. По словам MetaMask, ключи вывода ETH находятся вне контроля оператора, а закрытые ключи пользователей и фразы восстановления не пострадали.
Независимый анализ Bitquery обнаружил перевод примерно 0,36 ETH с 18 созданных блоков на чужой адрес. По подсчётам компании, к 1 октября MetaMask Staking вывела либо поставила в очередь на выход 16 965 валидаторов, за которыми числились 565 056 ETH. MetaMask не подтвердила число узлов, а указанная сумма описывает объём стейкинга, не размер похищенного.
Чтобы ограничить риски, MetaMask Staking начала выводить затронутые валидаторы из сети. К 5 ноября компания подтвердила завершение выхода всех пострадавших узлов. Для части клиентов мера обернулась задержками вывода ETH, а во время выхода и последующего подключения могли быть недополучены дополнительные награды. Выход валидатора из сети не означает немедленного возврата депозита.
Последствия затронули и Lido, использовавший MetaMask Staking как оператора валидаторов. Протокол оценивал полный цикл выхода, возврата и повторного подключения сроком до 45 дней. 23 октября Lido установил для оператора нулевой лимит на распределение новых депозитов в двух модулях стейкинга. Признаков взлома самого Lido не раскрывали. Владельцам stETH никаких действий не требуется.
MetaMask заявляет, что несанкционированный доступ прекращён, а затронутые системы защищены. При этом компания пока не раскрыла исходный способ атаки и точное число клиентов, столкнувшихся с последствиями. Обычным владельцам кошельков ничего предпринимать не нужно. Клиентам стейкинга рекомендуют следовать указаниям своего провайдера и не передавать никому закрытые ключи или фразы восстановления.