MetaMask kvůli bezpečnostnímu incidentu vystupuje z validátorů Lida

MetaMask na své stránce s aktualizacemi uvedl, že reaguje na probíhající bezpečnostní incident, který se týká části jeho infrastruktury, a že jako preventivní opatření vystupuje z dotčených validátorů ve spolupráci s klienty a partnery. Stakingová služba je podle MetaMasku nedepozitářská: klíče k výběru za klienty nespravuje.

Lido ve stejnou dobu zveřejnilo na svém fóru bezpečnostní oznámení: MetaMask Staking (dříve Consensys Staking) po vyšetřování kompromitace infrastruktury podnikl preventivní kroky k ochraně aktiv klientů u svých validátorů Etherea, včetně výstupu z protokolu Lido.

Dotčené validátory podle Lida zahájily výstup a poslední z nich mají z validace vystoupit do konce 7. října 2026; ether z nich tím ještě nebude vybraný. Podle Lida s sebou výstup pravděpodobně ponese ušlé odměny a možné penalizace za výpadek. Ether z těchto validátorů se má do protokolu vracet postupně přes cyklus výstupu, výběru a opětovného vstupu; podle Lida to potrvá až 45 dní kvůli prodloužené frontě na vstup do sítě.

Lido uvádí, že odolnost protokolu drží různorodá skupina operátorů uzlů a rezervní fond přes 6 750 stETH určený ke zmírnění výpadků. Držitelé stETH podle něj nemusí nic dělat; úplné vyšetřování pokračuje a Lido slibuje další aktualizace.

MetaMask ani Lido k 4. říjnu 2026 nezveřejnily, co, jak a kdy bylo kompromitováno, ani kolik validátorů a etheru se stahuje. Bezpečnostní výzkumník Kaden (na síti X jako 0xKaden) podle serverů Decrypt a CoinDesk z dat na blockchainu odvodil, že 18 z 19 validátorů MetaMasku, které získaly odměnu za blok, poslalo odměny v celkové hodnotě zhruba 0,36 ETH na cizí adresu místo správného příjemce poplatků (fee recipient). Z dat také odvodil, že předběžně vystupuje zhruba 17 000 validátorů s asi 523 000 ETH. Útočník podle něj zřejmě nikdy nemohl vložený ether vybrat. Žádná z firem tato čísla nepotvrdila.

MetaMask uživatelům doporučuje být obezřetní vůči nevyžádaným zprávám, nikdy nesdílet záložní frázi (Secret Recovery Phrase) ani soukromé klíče a brát informace jen z oficiálních kanálů; záložní frázi podle svých slov nikdy nevyžaduje. Jak se bránit phishingu a chránit přístup k prostředkům, popisuje průvodce Zabezpečení účtu. Co jsou validátory a jak Ethereum funguje, vysvětluje průvodce Co je Ethereum; podrobnosti o etheru najdete na stránce Ethereum (ETH).