MetaMask: problemi di sicurezza. In uscita i validator Ethereum di Consensys: 1,5 miliardi in $ETH prelevati per precauzione

MetaMask, il famoso wallet non custodiale per criptovalute, ha dichiarato poche ore fa di aver subito un incidente di sicurezza che riguarda la propria infrastruttura interna, in particolare i sistemi utilizzati per partecipare allo staking di Ethereum per conto dei propri clienti. L’exploit non ha coinvolto i fondi degli utenti, che restano al sicuro, almeno secondo quanto riferito dal gruppo.

Nel frattempo, il team di MetaMask ha avviato alcune procedure di sicurezza, tra le quali l’uscita dei validatori gestiti da Consensys che risultano colpiti dall’incidente, e il conseguente prelievo di oltre 1,5 miliardi di dollari in Ethereum dallo staking della blockchain. Cerchiamo di fare chiarezza e di capire cosa sta davvero accadendo dietro le quinte.

MetaMask sotto attacco: validatori dello staking di Ethereum in fuga

Per il momento, non è del tutto chiaro quale componente di MetaMask sia stata compromessa, né quale sia stato l’esatto vettore di attacco. In un post su X, la società ha parlato genericamente di un incidente che coinvolge parte dell’infrastruttura, precisando di non aver rilevato una minaccia immediata per i fondi custoditi all’interno dei wallet non custodial.

Il messaggio continua affermando che, per motivi di precauzione, il team ha avviato un massiccio processo di unstaking dei validatori Ethereum gestiti da Consensys, la società che si occupa dello sviluppo del wallet.

Ricordiamo che MetaMask permette di fare staking di ETH2.683 $▲ +0,52% direttamente dal wallet, delegando la gestione tecnica ad operatori specializzati. Il problema, da questa ricostruzione, sarebbe appunto l’infrastruttura utilizzata per far funzionare i validator, piuttosto che i fondi gestiti all’interno dei portafogli degli utenti.

Anche se non confermato esplicitamente dai diretti interessati, c’è la possibilità che qualche soggetto non autorizzato abbia ottenuto la chiave di accesso all’ambiente che li gestisce, cosa che avrebbe poi spinto MetaMask ad uscire con molti dei suoi validatori dal PoS di Ethereum.

In ogni caso, anche chi ha utilizzato la funzione di “liquid staking” o di “validator staking” all’interno del wallet, non dovrebbe temere per la sicurezza dei propri asset, ma solo per le relative ricompense. Ora capiremo il perché.

1,5 miliardi di dollari di $ETH escono dallo staking

Ogni validatore gestito da MetaMask presenta due tipologie di chiavi crittografiche: una signing key, utilizzata per firmare blocchi, e una serie di withdrawal credentials, che determinano in quale indirizzo possono essere prelevati gli $ETH in staking. Ecco, MetaMask non controlla le withdrawal keys dei clienti, in quanto lo staking in-app si svolge in modalità non-custodial, e molto probabilmente è per questo che la compromissione dell’infrastruttura non ha determinato la perdita dei fondi.

Anche ipotizzando che qualcuno abbia ottenuto il controllo della signing key, questo non gli conferirebbe comunque il potere di trasferire gli $ETH in stake presso i propri wallet.

Ad ogni modo, la risposta immediata di MetaMask in seguito alla scoperta dell’exploit è stata proprio quella di ritirare i validatori coinvolti nell’incidente. Non conosciamo il numero esatto di nodi, ma possiamo stimare quanti $ETH ci siano di mezzo guardando alla coda in uscita dei validatori Ethereum sulla dashboard ufficiale.

Rispetto a ieri, vediamo oltre 570.000 $ETH aggiunti alla coda dei prelievi, per un controvalore di oltre 1,52 miliardi di dollari ai prezzi correnti. Non è detto che siano tutti fondi relativi all’operatività di MetaMask, ma è probabile che una buona parte sia collegata all’uscita dei validator gestiti dal gruppo.

Tutti i validator interessati, secondo quanto riportato da Lido, completeranno l’uscita entro il 7 ottobre 2026. Nel frattempo gli utenti che stanno utilizzando il servizio di MetaMask staking vedranno le loro ricompense scendere in modo potenzialmente importante nei prossimi giorni.

I dettagli scoperti dagli analisti

Gli analisti on-chain hanno trovato alcuni elementi interessanti collegati alla vicenda. Uno dei più sorprendenti riguarda un indirizzo finanziato poche ore fa con 0,1 $ETH da Tornado Cash, che avrebbe ricevuto una serie di ricompense di staking associate a blocchi prodotti da validatori MetaMask. In totale ha ricevuto 0,36 $ETH.

Questo suggerisce che ipoteticamente (non c’è ancora nulla di confermato), l’attaccante potrebbe aver reindirizzato le reward dello staking dei validatori compromessi presso un indirizzo da lui controllato. Tuttavia c’è anche la possibilità che quel portafoglio – che potete seguire qui – sia effettivamente gestito dal team di Consensys.

Un altro elemento insolito concerne uno swap di ben 20.036 $stETH, pari a 53,6 milioni di dollari, che sarebbero stati scambiati da un indirizzo anonimo per 20.000 $ETH, accettando uno sconto del -0,18%. Questo è alquanto curioso, in quanto l’utente avrebbe potuto prelevare la somma via Lido e risparmiare circa 97.000 dollari dall’operazione anziché procedere con uno scambio diretto.

Si tratta di una somma apparentemente poco significativa per un capitale di quelle dimensioni, ma che rappresenta in realtà circa un mese di proventi di staking. Non è chiaro per quale motivo l’utente abbia scelto di liquidare la posizione sul mercato secondario invece che passare dai canali di unstaking ufficiali.

Il co-fondatore di Consensys muove 356 milioni di dollari in Ethereum

L’ultimo movimento che ha attirato l’attenzione degli analisti e che sembra essere avvenuto in contemporanea alla resa pubblica dell’incidente da parte di MetaMask riguarda un trasferimento effettuato da Joseph Lubin, co-fondatore di Consensys.

Lookonchain ha segnalato come il wallet di Lubin abbia spostato 133.298 $ETH, pari a 356 milioni di dollari, presso un nuovo indirizzo poche ore fa. Anche in questo caso, non è detto che il movimento sia collegato all’incidente, ma è quantomeno degno di nota sia per la sua entità che per la coincidenza temporale con l’uscita dei validatori di MetaMask.

A questo punto, non ci resta che attendere la pubblicazione di un post mortem più esaustivo da parte di MetaMask rispetto all’ultima breve comunicazione, con cui potremmo capire più nel dettaglio cosa sia realmente accaduto all’interno dell’infrastruttura di staking, quali componenti siano state compromesse e se ci siano state perdite, per il momento non segnalate.

Chissà se tutta questa vicenda è legata in qualche modo al tentativo di infiltrazione ai danni di MetaMask da parte di uno sviluppatore del gruppo Lazarus, segnalato a luglio.