MetaMask сообщила 1 октября, что выводит из стейкинга затронутые валидаторы Ethereum после инцидента в части своей инфраструктуры. По результатам проверки на этот момент компания не видит признаков того, что пострадали кошельки MetaMask или средства клиентов. Причину и границы компрометации она пока не раскрыла.

Lido уточнила, что последние работающие через её протокол валидаторы MetaMask должны выйти до конца 7 октября, но полный вывод и повторный вход в стейкинг могут занять до 45 дней из-за очереди Ethereum. В это время валидаторы не будут получать обычные награды; при досрочном отключении возможны штрафы за простой. Владельцам stETH ничего предпринимать не требуется.

Стейкинг MetaMask устроен некастодиально: оператор обслуживает валидаторы, но не хранит ключи, которыми клиенты выводят основной залог. Поэтому изменение адреса для части вознаграждений или отключение серверов само по себе не даёт доступа к застейканному ETH. Независимый исследователь оценил для CoinDesk, что на посторонний адрес могли уйти около 0,36 ETH выплат за создание блоков, а меры затронули примерно 17 тысяч валидаторов с 523 тысячами ETH. MetaMask эти числа не подтвердила.

По состоянию на 1 октября ни MetaMask, ни Lido не сообщили о потере основного залога или штрафах за двойное подписание блоков. Расследование продолжается: неизвестны точка входа злоумышленника, точное число затронутых валидаторов и итоговый ущерб.