MetaMask сообщила о взломе части инфраструктуры и начала выводить затронутые валидаторы из стейкинга. Компания утверждает, что кошельки и средства клиентов в безопасности, но блокчейн-аналитики выявили, что атакующие перехватили часть вознаграждений за создание блоков.
Стейкинг позволяет владельцам ETH получать вознаграждение за поддержку сети. Криптовалюта размещается в депозите, валидаторы проверяют новые блоки и подтверждают операции. MetaMask Staking обслуживает эти валидаторы без доступа к клиентским ключам — модель, при которой оператор не может вывести чужие средства.
Об инциденте объявили 30 сентября 2026 года. MetaMask не раскрыла, какие системы пострадали и как они были взломаны, но заявила, что устраняет проблему с помощью внешних специалистов по безопасности. В качестве предосторожности компания начала отключать затронутые валидаторы.
Исследователь 0xKaden проанализировал блокчейн и обнаружил, что вознаграждения за создание 18 из 19 блоков поступили не на положенные адреса, а на кошелек, пополненный через криптомиксер Tornado Cash. По его расчётам, злоумышленники получили около 0,36 ETH — речь идет о дополнительных комиссиях за включение транзакций в блоки, а не о самих депозитах. Он также подсчитал, что MetaMask выводит примерно 17 000 валидаторов, за которыми закреплено около 523 000 ETH.
Аналитики Bitquery провели собственное исследование и пришли к похожим выводам: по их данным на 1 октября 2026 года MetaMask инициировала выход почти 17 000 валидаторов с депозитами объёмом более 565 056 ETH.
Способ проникновения в инфраструктуру остаётся неясным. Неизвестно, получили ли атакующие доступ к ключам подписи валидаторов. Такие ключи не позволяют вывести депозит, но их компрометация создаёт риск штрафов со списанием части размещённых средств, если злоумышленники заставят валидаторы нарушить правила сети.
Представители Lido, для которого MetaMask Staking служит одним из операторов, раскрыли дополнительные подробности. Последние валидаторы MetaMask в протоколе Lido должны выйти из стейкинга к 7 октября. После этого потребуется вывести ETH и снова разместить в стейкинге. Весь процесс может занять до 45 дней, за это время будут потеряны часть вознаграждений и издержки из-за простоя валидаторов. Держателям токенов stETH в Lido не требуется предпринимать никаких действий.
