En angripare fick med sig ungefär 0.36 ETH – värda mindre än tusen dollar – från MetaMasks Ethereum-staking. Svaret? MetaMask ryckte ut ungefär 17 000 validerare som innehade cirka 523 000 ETH, värda cirka 1.4 miljarder dollar i nuvarande priser, från nätverket. Förhållandet mellan utförd skada och förhindrad skada är, milt uttryckt, inte 1:1.

Incidenten började den 30 september 2026, när MetaMask avslöjade vad de kallade "en pågående säkerhetsincident som påverkar en del av vår infrastruktur". Företaget var snabbt med att betona att de inte hade funnit något omedelbart hot mot MetaMask-plånböcker. Problemet var begränsat till MetaMask Staking, valideringsföretaget tidigare känt som Consensys Staking, som driver Ethereum-validerare för Lido, Coinbase och sin egen poolade staking-produkt.

Vad som egentligen stals

Inte mycket, är det ärliga svaret. Enligt en analys av säkerhetsforskaren 0xKaden i kedjan och en detaljerad undersökning av Bitquery ändrade angriparen avgiftsmottagaradressen på cirka 18 av 19 MetaMask-drivna validerare som hade tjänat blockbelöningar den 30 september. Under ungefär fyra och en halv timme, mellan 12:12 och 16:46 UTC, omdirigerades blocktips – de extra avgifter som användare betalar för att få transaktioner inkluderade i ett block – till en plånbok finansierad via Tornado Cash.

Total intäkt: 0.36 ETH. Cirka 950 dollar. Plånboken, som tog emot 0.1 ETH från Tornado Cash klockan 10:27 UTC den morgonen, hade inte rört sig nästa dag. Ingen valideringsinsats togs. Ingen slashing inträffade. Angriparen kunde inte nå den insatta ETH:n själv, eftersom uttagsuppgifterna kontrolleras av klienterna, inte av MetaMasks insatsinfrastruktur.

Så varför den massiva responsen? För att angriparen hade tillgång till maskinerna som signerar block och ställer in avgiftsadresser. Det betyder att signeringsnycklarna kan ha exponerats. En signeringsnyckel kan inte roteras – den enda lösningen är att avsluta valideringsverktyget helt och börja om med en ny nyckel. MetaMask började hämta valideringsverktyg innan det första tipset ens hade vidarebefordrats, vilket tyder på att de upptäckte något misstänkt tidigt och bestämde sig för att det nukleära alternativet var det säkra.

Kedjereaktionen

Utgångarna drabbade Ethereums stakingkö hårt. Uttagskön hoppade från cirka 200 000 ETH till över 700 000 ETH på en enda dag, vilket höjde väntetiderna från tre och en halv dag till nästan två veckor. Lido, vars stETH-token backas upp av validatorer som MetaMask driver, berättade för stETH-innehavare att den senast drabbade validatorn skulle avslutas senast den 7 oktober. Hela cykeln - avsluta, uttag, återinsättning med nya nycklar och återinträde i aktiveringskön - kan ta upp till 45 dagar, under vilka den ETH:n inte tjänar någonting.

För Lido-spelare är den verkliga kostnaden inte stulna pengar. Det är förlorad tid. Ungefär 0.19 ETH i tips från 11 Lido-block gick till inkräktaren istället för Lidos belöningsvalv. Lidos reserv på 6 750 stETH skulle ha täckt ett värsta tänkbara scenario för sina egna validerare. Men om alla MetaMask-körda validerare hade blivit skurna samtidigt – vilket inte hände – skulle cirka 22 000 ETH ha förbrukats, vilket översteg Lidos reserv. Systemet undvek en mycket större kula.

En oroande bakgrund

Detta sker inte i ett vakuum. I juli rapporterade Drop Site News att Consensys – MetaMasks moderbolag, innan de bytte namn – omedvetet hade anlitat en mjukvaruutvecklare med kopplingar till Nordkorea som konsult i ungefär en månad. Det finns inga bevis som kopplar den händelsen till staking-intrånget den 30 september. Men Tornado Cash-finansieringen, KuCoin-routingen och den tysta professionalismen i attacken är tillräckligt för att göra alla som är involverade i staking-infrastruktur lite nervösa.

Det är inte heller första gången en staking-leverantör har varit tvungen att dra tillbaka validerare på grund av en misstänkt komprometterad säkerhet. Kiln, en konkurrerande operatör, avslutade alla sina aktiva validerare i september förra året efter en förlust på 41 miljoner dollar i sin SOL-staking-verksamhet, roterande signeringsnycklar och behandling av relaterad infrastruktur som potentiellt komprometterad. Mönstret börjar bli bekant: ett litet intrång, en omfattande försiktighetsåtgärd och många frågor om hur nycklar lagras och vem som kan nå dem.

MetaMask har inte offentligt förklarat hur angriparen tog sig in, om signeringsnycklar faktiskt komprometterades eller vilken specifik infrastrukturkomponent som var målet. Företaget sa att de samarbetar med externa säkerhetspartners och har inte lämnat ytterligare detaljer. För de tusentals stakers vars ETH nu sitter i en utgångskö är tystnaden inte direkt lugnande.

Den viktigaste slutsatsen för alla som stakar ETH via en leverantör: din principal är förmodligen säker om leverantören inte kontrollerar uttagsnycklarna. Men dina belöningar, din drifttid och ditt tålamod står på spel när något går fel. En stöld på 950 dollar utlöste en valideringsflykt på 1.4 miljarder dollar och en två veckor lång flaskhals för uttag. Matematiken är absurd, men logiken är sund. Vid staking är en komprometterad signeringsnyckel inte ett litet problem - det är en anledning att bränna ner allt och börja om.

---------------

Författare: Dorian Fenwick
Silicon Valley Newsroom
De senaste kryptonyheterna