MetaMask ha revelado nuevos detalles sobre una brecha de seguridad que permitió a un atacante redirigir las recompensas de staking de Ethereum. Aunque la intrusión afectó a parte de la infraestructura de staking de la empresa, MetaMask afirma que sus monederos de criptomonedas, claves privadas y fondos depositados por los clientes no fueron comprometidos.
El incidente fue descubierto el 28 de septiembre de 2026, pero MetaMask inicialmente proporcionó información limitada sobre los sistemas afectados. Su primer anuncio público, emitido dos días después, confirmó un problema de seguridad de infraestructura y explicó que la empresa estaba tomando medidas de precaución para proteger a los clientes.
En una actualización publicada el 5 de noviembre, MetaMask reveló que una parte no autorizada había accedido a la infraestructura responsable de almacenar las direcciones utilizadas para recibir ciertas recompensas de staking de Ethereum. El atacante modificó brevemente esas direcciones, provocando que aproximadamente 0,385 ETH en recompensas de la capa de ejecución se enviaran a otros lugares.
Las recompensas robadas eran independientes de las Ethereum depositadas originalmente por los clientes. MetaMask dijo que los investigadores no encontraron pruebas de que los atacantes obtuvieran claves de retiro o la capacidad de transferir los activos stakinged de los clientes.
La distinción es importante porque el staking en Ethereum utiliza mecanismos separados para gestionar los fondos depositados y distribuir ciertas recompensas. Aunque cambiar la dirección del destinatario de la recompensa puede redirigir las ganancias, no proporciona automáticamente control sobre la criptomoneda subyacente en stake.
Tras el descubrimiento, MetaMask comenzó a retirar a los validadores afectados del proceso de staking de Ethereum. Los validadores son participantes de la red responsables de proponer bloques y verificar las transacciones, ayudando a mantener el funcionamiento de la blockchain.
Las salidas de precaución tenían como objetivo reducir el riesgo de pérdidas adicionales mientras la empresa investigaba la intrusión. MetaMask confirmó que todos los validadores afectados ya han salido y que los sistemas comprometidos han sido asegurados.
Sin embargo, la respuesta creó dificultades temporales para algunos clientes de staking. Las salidas de validadores pueden retrasar los retiros porque abandonar el proceso de staking y poner a disposición el Ethereum depositado para retiros son operaciones separadas.
Algunos clientes también pueden haber pasado por alto posibles recompensas de staking mientras sus validadores salían o esperaban para reanudar las operaciones. MetaMask dijo que está trabajando con los clientes y socios afectados para abordar estas consecuencias y reembolsar las recompensas desviadas.
La empresa enfatizó que su infraestructura de monederos no custodiales no estuvo involucrada en la brecha. Las Frases Secretas de Recuperación y las Claves Privadas de los usuarios, que controlan el acceso a sus carteras de criptomonedas, no fueron expuestas durante el incidente, según su investigación.
MetaMask no ha identificado públicamente al atacante ni ha explicado cómo se obtuvo inicialmente el acceso no autorizado.
Los usuarios habituales de la cartera MetaMask no necesitan tomar ninguna medida debido a este incidente. Los clientes afectados por la interrupción del staking deben seguir las instrucciones proporcionadas directamente por MetaMask o su proveedor de servicios de staking.