MetaMask drar tillbaka sina validerare från Lido efter att någon har avledt blockbelöningar

MetaMask Staking drar tillbaka sina Ethereum-validerare från Lido efter att blockbelöningar från dess infrastruktur omdirigerats till en adress som finansierats via Tornado Cash. Det belopp som faktiskt flyttats är mycket litet: cirka 0,36 ETH, mindre än 1 000 dollar. Däremot är det belopp som lämnar Lido som en försiktighetsåtgärd inte det. En forskare räknar med ungefär 523 000 ETH, cirka 1,4 miljarder dollar.

Jag återkommer hela tiden till den här proportionen. En läcka som man skulle kunna täcka med en månads kaffekostnad, och en insats på 1,4 miljarder dollar dras ut ur det största likvida staking-protokollet på Ethereum. Det visar hur lite MetaMask vill gissa på vad angriparen skulle kunna nå.

Vad MetaMask och Lido har sagt

Den 30 september publicerade MetaMask ett inlägg på X om att man hanterade en säkerhetsincident som påverkade en del av företagets infrastruktur. Man uppgav att man inte hade funnit något omedelbart hot mot MetaMask-plånböckerna och att man avslutade de drabbade validerarna inom sin icke-förvaringsbaserade stakingverksamhet. Därefter följde en användaruppdatering på metamask.io.

Lido bekräftade avslutningarna på X och i ett meddelande i styrningsforumet, där man beskrev orsaken som en infrastrukturkompromiss som utreds. MetaMask Staking är det tidigare Consensys Staking, en nodoperatör inom Lido. De sista drabbade validerarna förväntades ha avslutat sin avslutning, dock utan att helt dra sig ur, senast den 7 oktober.

Att få tillbaka ETH:n är den tidskrävande delen. Lido uppgav att uttagna insatser återförs till protokollet gradvis och att hela cykeln med utträde, uttag och återinträde kan ta upp till 45 dagar på grund av Ethereums långa kö för inträde. Man varnade också för förlorade belöningar och eventuella straffavgifter för driftstopp för validerare som tagits offline innan deras utträde slutförts.

Båda företagen betonade att MetaMask inte förfogar över uttagsnycklar för kundernas insatser. Lido uppmanade stETH-innehavare att inte vidta några åtgärder och pekade på sin spridning av nodoperatörer och en reservfond på mer än 6 750 stETH.

Vad kedjan visar

De enda offentliga siffrorna om själva stölden kommer från en oberoende forskare. Kaden uppgav på X att 19 MetaMask-validerare hade vunnit blockbelöningar och att 18 av dessa utbetalningar gick till en Tornado-finansierad adress istället för till den rätta avgiftsmottagaren. Varken MetaMask eller Lido har bekräftat detta.

Avgiftsmottagaren är viktig i detta sammanhang. Det är den adress som en validerare anger för att ta emot prioriterade avgifter och MEV från de block som denne föreslår. För att 18 av 19 utbetalningar skulle hamna någon annanstans måste någon ha kunnat ändra den inställningen, vilket pekar på validerarens konfiguration snarare än något på plånbokssidan. Den tolkningen är min, inte MetaMasks. Företaget har inte sagt vad som komprometterades.

Det är värt att beakta Kadens egna förbehåll. Han sa att det var oklart om angriparen kunde ändra avgiftsmottagare för hela validerargruppen, och att de ”troligen aldrig hade möjlighet” att ta ut insatt ETH. Men beroende på hur åtkomsten till signeringen erhölls, påpekade han, kunde validerare i princip ha blivit avskurna avsiktligt. Det är förmodligen den verkliga orsaken till utträden av denna omfattning.

Siffrorna stämmer inte helt överens. Kadens uppskattning var cirka 17 000 validerare och 523 000 ETH, med 821 potentiellt drabbade validerare som fortfarande återstår att lämna. AMBCrypto, som citerade Kaden, uppskattade den totala summan till nära 513 000 ETH. Data från Validator Queue som de granskade visade att ungefär 10 500 validerare och 336 000 ETH lämnade under samma tidsperiod, även om det är en siffra för hela marknaden och inte enbart MetaMask. Enligt AMBCrypto ökade utgångskön i sig från cirka 205 000 ETH till mer än 850 000 ETH inom två dagar.

Följdeffekterna har hittills varit begränsade

Aaves grundare Stani Kulechov sa att utlåningsprotokollet följde utvecklingen tillsammans med Lido och inte såg någon påverkan på sina marknader, där stETH är en mycket använd säkerhetstillgång. Guy Young från Ethena sa att de tillgångar som säkerställer USDe inte har någon direkt exponering mot stETH eller någon annan likvid staking-token. ETH-priset höll sig under 2 800 dollar under hela turbulensen.

Linea, den av Consensys byggda L2-plattformen, uppgav den 2 oktober att validerare som stöder dess Yield Boost-valv också avbröts, och att valvets medel och kontroll inte påverkades.

Lubins ställningstagande: plånböckerna är säkra, detaljer kommer inte att lämnas ut

Joseph Lubin, grundare av Consensys, skrev på X den 2 oktober att det, utifrån den hittills genomförda utredningen, inte finns några tecken på att MetaMask-plånböcker eller kundmedel i plånböckerna har påverkats, och att användarna själva förvarar sina nycklar. När det gäller de saknade detaljerna var han rak: ”Vi diskuterar inte detaljerna kring en pågående incident offentligt.”

Det är en rimlig policy för hantering av incidenter. Det lämnar också stakingmarknaden precis där den började, med 523 000 ETH i omlopp och ingen offentlig förklaring.

Inte den första Lido-operatören som drar sig ur

Kiln drog tillbaka alla sina Ethereum-validerare i september 2025 efter att dess VD varnat för en potentiell säkerhetsrisk i infrastrukturen. Consensys Staking, MetaMask Stakings tidigare namn, drog en gång av misstag tillbaka 125 Lido-validerare år 2023 efter ett missförstånd, enligt Crypto Briefing. Det var ett misstag, inte en attack, men det visar hur snabbt en enskild operatör kan flytta stora staking-belopp.

En rapport daterad den 6 oktober anger att uttagen nästan är avslutade och att MetaMask Staking kommer att publicera en efteranalys inom de närmaste veckorna. Jag har inte kunnat bekräfta detta via MetaMasks egna kanaler, så betrakta det som obekräftat. Tills en efteranalys finns tillgänglig är det enda konkreta siffran i denna historia 0,36 ETH, och exakt vad som utsattes för intrång är fortfarande en gissningsfråga.