MetaMask ha retirado por precaución miles de validadores de Ethereum después de detectar un incidente de seguridad en parte de su infraestructura. El investigador Kaden estima que la medida afecta a unos 17.000 validadores, asociados en conjunto a aproximadamente 523.000 ETH, aunque la compañía todavía no ha confirmado oficialmente ninguna de esas dos cifras.
Por ahora no hay indicios de que los fondos depositados en esos validadores puedan ser robados. La alerta procede de una actividad inusual relacionada con el destino de las recompensas obtenidas por algunos de ellos. MetaMask sí ha confirmado que se produjo un incidente de seguridad, pero asegura que no ha detectado una amenaza directa para los usuarios de sus monederos habituales.
Recompensas enviadas a una dirección desconocida
Kaden identificó movimientos sospechosos en validadores gestionados por MetaMask. De los 19 validadores analizados que habían recibido ingresos por la producción de bloques, 18 enviaron esas recompensas a una dirección distinta de la que estaba prevista. El importe desviado por esta vía se calcula en unos 0,36 ETH.
Todavía no se conoce cómo pudo modificarse el destino de los pagos. El hallazgo llevó a MetaMask a retirar de forma preventiva los validadores afectados, mientras continúa investigando el origen y el alcance del incidente.
La existencia de una dirección desconocida como receptora de las recompensas no implica, por sí sola, que el atacante tenga acceso al capital depositado para hacer staking. En Ethereum, las recompensas pueden enviarse a una dirección diferente de aquella en la que se recibirá finalmente el principal bloqueado.
Además, MetaMask sostiene que no dispone de las claves necesarias para que sus clientes retiren los ETH destinados al staking. El riesgo señalado para los fondos depositados sería distinto: si los validadores actúan de forma indebida, podrían sufrir una penalización o slashing, que puede implicar la pérdida de una parte de los ETH. Hasta el momento, no se ha informado de que esa penalización se haya producido en los validadores implicados.
La salida puede retrasar la recuperación del staking
La retirada de los validadores sí puede tener un impacto económico aunque los fondos no sean sustraídos. Lido ha confirmado que los validadores de MetaMask Staking han comenzado a salir de su protocolo. Una vez liberados, los ETH deberán volver a asignarse al staking, un proceso condicionado por las colas de entrada de Ethereum.
Según Lido, esa espera podría prolongarse hasta unos 45 días. Durante ese periodo, los validadores afectados podrían dejar de generar recompensas de staking. La plataforma ha indicado también que la situación no cambia para los titulares de Lido Staked Ether (stETH), que no tienen que realizar ninguna acción.
La cifra de 523.000 ETH vinculada a los validadores explica la atención que ha despertado el incidente, pero no equivale a una pérdida confirmada. Ni MetaMask ni Lido han presentado, según la información disponible, una confirmación oficial de ese volumen exacto. La compañía sigue analizando lo ocurrido y tampoco ha detallado cómo se alteró el destino de las recompensas.
