MetaMask está investigando un incidente de seguridad que afecta a parte de su infraestructura y ha comenzado a eliminar validadores de Ethereum de su operación de staking como precaución mientras se determina el alcance del compromiso.
El proveedor de monederos cripto reveló el incidente el 30 de septiembre, diciendo que está trabajando con socios externos y especialistas en seguridad para contener y remediar el problema. MetaMask no ha revelado cómo los atacantes accedieron, qué sistemas concretos fueron comprometidos ni cuándo comenzó el incidente.
Hasta ahora, la compañía afirma no haber encontrado ninguna amenaza inmediata para las carteras MetaMask. No se ha anunciado que haya comprometido frases de recuperación de carteras ni claves privadas, y MetaMask no ha informado de pérdidas por las carteras de autocustodia de los usuarios relacionadas con el incidente.
La respuesta de la empresa se ha centrado en MetaMask Staking, su operación de staking de Ethereum no custodial. MetaMask está saliendo proactivamente de los validadores afectados en coordinación con clientes y socios mientras continúa su investigación.
MetaMask subrayó que no controla las claves de retiro de las criptomonedas stakadas en nombre de sus clientes. Esta distinción limita lo que el operador validador puede hacer con el ETH subyacente porque las credenciales necesarias para retirar esos activos permanecen fuera de su control.
Algunos de los validadores afectados son operados a través de Lido, el protocolo de staking líquido de Ethereum. Lido dijo que MetaMask ha comenzado a retirar a sus validadores de Ethereum del protocolo y espera que los validadores finales afectados completen el proceso de salida antes del 7 de octubre.
Eliminar validadores no significa necesariamente que se hayan perdido los activos en staking. Sin embargo, Lido advirtió que la acción precautoria podría resultar en la renuncia a recompensas por staking y posibles penalizaciones por tiempo de inactividad mientras los validadores se desconectan y se investiga la situación.
El proceso completo de salir de los validadores, retirar el ETH y, finalmente, volver a ponerlo en staking podría llevar considerablemente más tiempo. Las estimaciones actuales sugieren que el ciclo podría durar alrededor de 45 días debido a las colas de validadores de Ethereum.
Lido ha dicho a los titulares de stETH que no necesitan tomar medidas debido al incidente. El protocolo en sí no ha informado de un compromiso, y el problema de seguridad revelado hasta ahora se refiere a la infraestructura operada por MetaMask.
Hay indicios iniciales de que el incidente pudo haber afectado a las operaciones de los validadores. Un investigador independiente de seguridad de Ethereum informó que los pagos de producción de bloques de un pequeño número de validadores operados por MetaMask se enviaron a una dirección inesperada y estimó que se desviaron aproximadamente 0,36 ETH. MetaMask no ha confirmado públicamente esa estimación ni ha explicado si esas transacciones fueron causadas directamente por el incidente de seguridad.
También han circulado estimaciones sobre el número total de validadores implicados, pero la empresa no las ha confirmado. La divulgación oficial de MetaMask solo indica que los “validadores afectados” están siendo eliminados, sin especificar su número ni la cantidad total de ETH asociada a ellos.
Por tanto, la causa y las consecuencias completas siguen sin resolver. MetaMask continúa investigando con asesores de seguridad externos, mientras que se espera que las salidas de validadores preventivas continúen hasta el 7 de octubre, y la empresa afirma que proporcionará más información según corresponda.