В обновлении от 5 ноября MetaMask указала, что инцидент выявили 28 сентября 2026 года: несанкционированный доступ получили к части инфраструктуры компании. Для локализации MetaMask работала с внешними специалистами по безопасности, а затем инициировала выход затронутых валидаторов в качестве меры предосторожности.
Во время инцидента атакующий ненадолго изменил адреса для получения части вознаграждений за стейкинг у некоторых валидаторов. Эти адреса централизованно хранились в инфраструктуре, к которой получили доступ. Проблему обнаружили и устранили в тот же день. За время инцидента было перенаправлено около 0,385 ETH вознаграждений; компания подчёркивает, что они отделены от застейканных ETH клиентов.
MetaMask сообщила, что в MetaMask Staking не контролирует ключи вывода, дающие доступ к застейканным ETH клиентов. По её словам, такое разделение помогло защитить эти средства во время инцидента. Компания также не нашла признаков компрометации кошельков MetaMask, кошельковой инфраструктуры, секретных фраз восстановления и приватных ключей.
Выход валидатора и вывод средств в Ethereum — разные процессы. Даже после выхода может потребоваться дополнительное время, чтобы ETH стали доступны для вывода или их снова можно было застейкать. Некоторые клиенты столкнулись с временными задержками вывода, а сам процесс мог привести к пропущенным наградам, пока валидаторы выходили или ждали повторной активации.
Несанкционированный доступ локализован, затронутые системы защищены, утверждает MetaMask. Компания работает с пострадавшими клиентами и партнёрами. Пользователям кошелька MetaMask действий не требуется; клиентам, чьи договорённости о стейкинге затронуты, следует выполнять указания MetaMask или своего поставщика стейкинга. Компания также призвала остерегаться фишинга и напомнила, что никогда не запрашивает секретную фразу восстановления или приватные ключи.
