En resumen

  • MetaMask está respondiendo a un “incidente de seguridad en curso” que afecta a parte de su infraestructura.
  • Está saliendo de los validadores de Ethereum que opera en el protocolo Lido como precaución, y no ha dicho si otros se ven afectados.
  • Lido dice que no se requiere ninguna acción por parte de los tenedores de stETH, y que la devolución de ETH puede tardar hasta 45 días.

MetaMask está respondiendo a un “incidente de seguridad en curso” que afecta a parte de su infraestructura y ha comenzado a retirar sus validadores de Ethereum del protocolo de staking Lido como precaución, dijeron las empresas el martes.

El desarrollador de la billetera dijo que había identificado “ninguna amenaza inmediata para las billeteras MetaMask”, y que estaba abordando y remediando el problema internamente junto con socios externos y asesores de seguridad. Está saliendo de los validadores afectados dentro de sus operaciones de staking no custodial, trabajando con clientes y socios.

MetaMask Staking, anteriormente Consensys Staking, opera validadores en Lido, el protocolo de staking líquido más grande en Ethereum. Lidoreveló las salidas en un aviso de seguridad publicado en su foro de gobernanza el martes por la noche, describiendo la causa como un compromiso de infraestructura bajo investigación.

El movimiento probablemente significará recompensas perdidas, dijo Lido, y posiblemente penalizaciones por tiempo de inactividad si los validadores se desconectan en los próximos días para limitar el riesgo de penalizaciones de red. Los validadores relevantes han comenzado el proceso, y se espera que los últimos hayan salido, aunque no retirado completamente, para el final del 7 de octubre. Lido describió las salidas como uno de los pasos tomados, y ninguna de las dos empresas dijo si los validadores que MetaMask opera en otros lugares están involucrados.

Recuperar el ETH llevará bastante más tiempo. Lido dijo que el stake retirado debería regresar al protocolo gradualmente a medida que los validadores completen el ciclo de salida, retiro y reingreso, un viaje de ida y vuelta que estimó en hasta 45 días debido a la extensa cola de entrada de Ethereum.

Ambas firmas enfatizaron que el acuerdo de staking no es custodial, y que MetaMask no posee las claves de retiro para el stake de los clientes. Lido dijo que no se requiere ninguna acción por parte de los tenedores de stETH, su token de staking líquido, y señaló su distribución de operadores de nodos y un fondo de reserva ad hoc de más de 6.750 stETH como amortiguadores contra interrupciones.

Un análisis independiente onchain, que ninguna de las dos compañías ha confirmado, sugiere lo poco que se tomó. El investigador Kadendijo que 19 validadores de MetaMask habían ganado recompensas de bloque y que 18 de esos pagos fueron dirigidos a una dirección financiada a través del mezclador Tornado Cash en lugar del receptor de tarifas correcto, lo que ascendió a aproximadamente 0,36 ETH, menos de $1.000 a los precios actuales.

Myriad: ¿Hacia dónde se dirige Ethereum ahora? Haz clic para hacer tu predicción.
Myriad: ¿Hacia dónde se dirige Ethereum ahora? Haz clic para hacer tu predicción.

Según el mismo análisis, alrededor de 17.000 validadores que poseen unos 523.000 ETH, por un valor aproximado de 1.400 millones de dólares, están siendo retirados como medida de precaución, y 821 validadores potencialmente afectados aún no han salido. El investigador dijo que no estaba claro si el atacante podría alterar los receptores de comisiones en todo el conjunto, y que "probablemente nunca tuvo la capacidad" de retirar ETH en staking, pero que los validadores podrían, en principio, ser recortados deliberadamente dependiendo de cómo se obtuvo el acceso de firma.

El fundador de Aave, Stani Kulechovdijo que el protocolo de préstamos estaba siguiendo la situación junto con Lido, y que no había habido impacto en los mercados de Aave, donde stETH se encuentra entre las formas de garantía más utilizadas. El fundador de Ethena, Guy Youngdijo que los activos de respaldo detrás de su dólar sintético USDe no incluían actualmente exposición directa a stETH ni a ningún otro token de staking líquido, y que no esperaba ningún impacto.

Es el segundo episodio de este tipo en un importante operador de Lido en poco más de un año. Kilnsalió de todos sus validadores de Ethereum en septiembre de 2025 después de identificar lo que su director ejecutivo llamó un posible compromiso de su infraestructura, días después de unincidente de Solana que involucró a SwissBorg.

Ninguna de las dos empresas ha dicho qué se vio comprometido, cómo ni por quién. Hay una investigación completa en curso, con más actualizaciones prometidas.