A MetaMask informou, em 30 de setembro, que enfrenta um incidente de segurança em parte de sua infraestrutura. Segundo a empresa, não há ameaça imediata identificada às carteiras dos usuários. Por isso, o problema aparentemente envolve as operações de staking, e não as carteiras autocustodiadas dos clientes.

A companhia trabalha com parceiros externos e consultores de segurança para investigar e corrigir o incidente. Enquanto isso, coordena a saída preventiva dos validadores afetados com clientes e parceiros. Como precaução, a medida busca reduzir riscos operacionais e proteger a rede Ethereum.

Saída preventiva coloca validadores em foco

“Estamos respondendo a um incidente de segurança que afeta parte de nossa infraestrutura. Neste momento, não identificamos nenhuma ameaça imediata às carteiras MetaMask. Como precaução, estamos retirando proativamente os validadores afetados em nossas operações de staking não custodial, em coordenação com clientes, parceiros e consultores de segurança.”

MetaMask, em publicação no X.

Os validadores envolvidos incluem unidades operadas pela MetaMask por meio do protocolo Lido. Nesse contexto, a MetaMask Staking, anteriormente chamada Consensys Staking, iniciou as saídas após investigar um comprometimento de infraestrutura. Contudo, a empresa não detalhou a natureza da falha nem os sistemas envolvidos.

A retirada poderá causar perda de recompensas e penalidades por inatividade. Isso poderá ocorrer se os validadores ficarem offline antes da conclusão formal do processo de saída. As estimativas indicavam que os últimos validadores concluiriam essa etapa até o fim do dia 7 de outubro de 2026.

Processo no Lido pode levar até 45 dias

“Essas medidas incluem a saída de seus validadores de Ethereum no protocolo Lido e provavelmente resultarão em recompensas não recebidas, além de possíveis penalidades por inatividade caso os validadores sejam colocados offline em breve para reduzir riscos de punições na rede. Os validadores relevantes iniciaram o processo de saída, e a previsão é que os últimos concluam essa etapa, mas não a retirada completa, até o fim de 7 de outubro de 2026.”

Lido, em publicação no X.

Ainda assim, essa previsão não representa a retirada integral dos ETH. O Lido afirmou que os detentores de stETH não precisam tomar nenhuma medida. Já os ETH ligados aos validadores operados pela MetaMask devem retornar gradualmente ao protocolo durante as etapas de saída, retirada e reentrada.

O ciclo completo pode levar cerca de 45 dias. Além disso, o Lido destacou que sua rede diversificada de operadores de nós e outros mecanismos de segurança ajudam a conter interrupções. Dessa forma, o protocolo pretende manter suas operações durante o processo.

Entre essas proteções, o Lido mantém um fundo de reserva específico com mais de 6.750 stETH. O mecanismo oferece uma camada adicional de proteção durante situações operacionais adversas. A MetaMask, porém, não revelou o volume exato de ETH diretamente afetado pelo incidente.

Transferência de Ethereum atrai atenção

Em paralelo, uma grande transferência chamou a atenção após a divulgação do caso. A plataforma Lookonchain relatou que uma carteira atribuída a Joseph Lubin, cofundador do Ethereum, enviou 133.298 ETH para um novo endereço. O valor correspondia a cerca de US$ 356 milhões.

No entanto, não estava claro se a transação tinha relação com a resposta de segurança da MetaMask. A empresa também não informou o número exato de validadores afetados ou a origem do incidente. Assim, permaneciam desconhecidas a extensão e a gravidade do comprometimento.

A MetaMask não esclareceu se houve acesso não autorizado, vulnerabilidade de software ou atividade de invasores. A investigação também não havia identificado publicamente a forma de acesso inicial. A conclusão do trabalho deverá determinar o alcance real do incidente.

Pesquisador aponta desvios em recompensas

O pesquisador independente Kaden estimou que cerca de 0,36 ETH em pagamentos pela produção de blocos foram desviados. De acordo com sua análise, 18 dos 19 validadores que receberam essas recompensas enviaram os valores a um endereço inesperado. A conta teria recebido financiamento por meio do Tornado.

Os dados apresentados pelo pesquisador também sugeriam a saída de aproximadamente 17 mil validadores. Esse conjunto representava cerca de 523 mil ETH. Ainda assim, Kaden ressaltou que não se sabe se o invasor conseguiu alterar todos os destinatários das taxas.

“17 mil validadores saíram proativamente, com 523 mil ETH no total. Não se sabe se o invasor tinha capacidade de alterar todos os destinatários de taxas. Parece que três dos validadores explorados ainda não saíram, e que 821 validadores potencialmente impactados ainda precisam sair, sem motivo claro.”

Kaden, em publicação no X.

Naquele momento, três validadores identificados por Kaden ainda não haviam iniciado a saída. O pesquisador também apontou 821 validadores potencialmente impactados que permaneciam ativos. As razões para essa situação não estavam claras.

Por outro lado, um comprometimento na infraestrutura de staking não concede automaticamente acesso às carteiras autocustodiadas. Sistemas de hospedagem, assinatura, monitoramento ou administração podem operar separadamente das frases-semente e chaves privadas dos usuários. Portanto, a empresa afirmou não ter identificado ameaça imediata às carteiras MetaMask.

Ao mesmo tempo, a investigação ainda precisa esclarecer quais componentes sofreram comprometimento. Também falta determinar se outros validadores ou pagamentos foram afetados. Até a conclusão da análise, o alcance definitivo do incidente permanece em aberto.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.