✔Компания MetaMask пострадала от киберинцидента, затронувшего часть инфраструктуры - «Новости»
Представители MetaMask сообщили о компрометации части инфраструктуры и, чтобы снизить возможный ущерб, начали процедуру вывода затронутых валидаторов из стейкинга. В компании утверждают, что угрозы для кошельков и средств клиентов пока не выявлено, а блокчейн-аналитики полагают, что атакующие успели перехватить часть вознаграждений за создание блоков.
Стейкинг позволяет владельцам ETH получать вознаграждение за участие в обеспечении работы сети. Для этого криптовалюту размещают в специальном депозите, а валидаторы проверяют новые блоки и подтверждают операции. Их обслуживание можно поручить стороннему оператору — например, MetaMask Staking (ранее Consensys Staking).
Причем сервис работает по некастодиальной модели: он обслуживает валидаторы, и в MetaMask подчеркивают, что не располагают ключами для вывода клиентских средств. Поэтому взлом инфраструктуры оператора не означает, что злоумышленники уже получили доступ к криптовалюте.
Об инциденте стало известно 30 сентября 2026 года, однако в своем заявлении представители MetaMask не сообщили, какие именно системы пострадали от атаки и каким образом они были скомпрометированы. При этом в компании заявили, что уже устраняют проблему совместно с внешними ИБ-специалистами и партнерами, а в качестве меры предосторожности начали выводить затронутые валидаторы из своих некастодиальных стейкинговых сервисов.
Тем временем появились первые данные о возможных последствиях взлома: ИБ-исследователь 0xKaden изучил транзакции в блокчейне и обнаружил, что вознаграждения за создание 18 из 19 блоков ушли не на положенные адреса, а на кошелек, ранее пополненный через криптомиксер Tornado Cash. По его оценке, злоумышленники получили около 0,36 ETH. Важно отметить, что речь идет о дополнительных комиссиях за включение транзакций в блоки, а не о самих депозитах.
Также исследователь подсчитал, что MetaMask начала выводить примерно 17 000 валидаторов, за которыми закреплено около 523 000 ETH. Однако официально в компании эти цифры пока не подтверждали.
Аналитики из Bitquery тоже изучили операции в блокчейне и пришли практически к тем же выводам, что и 0xKaden: по подсчетам исследователей, по состоянию на 1 октября 2026 года MetaMask инициировала выход почти 17 000 валидаторов, связанных с депозитами объемом более 565 056 ETH.
Пока неизвестно, как именно злоумышленники проникли в инфраструктуру компании и получили ли они доступ к ключам подписи валидаторов. Такие ключи не позволяют вывести депозит, однако их компрометация создает риск штрафов со списанием части размещенных средств, если атакующие заставят валидаторы нарушить правила сети.
Дополнительные подробности инцидента раскрыли представители Lido, для которого MetaMask Staking выступает одним из операторов валидаторов. Согласно их заявлению, последние валидаторы MetaMask в протоколе Lido должны выйти из стейкинга к концу 7 октября. После этого потребуется вывести ETH и снова разместить в стейкинге. Ожидается, что весь процесс может занять до 45 дней, и за это время часть вознаграждений будет потеряна, а преждевременное отключение валидаторов может повлечь за собой издержки из-за простоя. Подчеркивается, что держателям токенов stETH в Lido не нужно предпринимать никаких действий.
