MetaMask: in uscita i validatori Lido dopo un incidente di sicurezza, 523.000 ETH coinvolti
MetaMask ha comunicato che sta gestendo un incidente di sicurezza che ha colpito parte della propria infrastruttura.
Nella giornata di ieri MetaMask, ha comunicato di aver subito un incidente di sicurezza in alcuni dei suoi sistemi e ha iniziato a ritirare i validatori Ethereum che gestisce per conto di Lido. Parliamo del più grande protocollo di liquid staking attualmente.
Notizia poi confermata da diverse testate.
La prima domanda che ci siamo fatti riguarda ovviamente il wallet. I fondi sono al sicuro ? MetaMask ha chiarito subito che i wallet non sono coinvolti, e che al momento non ci sono minacce per chi lo usa ogni giorno.
Cerchiamo di capire cosa è successo e cosa cambia per chi ha i propri ETH in staking su Lido.
Cosa è successo a MetaMask?
Ieri è arrivato il comunicato di Metamask:
«Stiamo rispondendo a un incidente di sicurezza che riguarda parte della nostra infrastruttura. Al momento, non abbiamo identificato minacce immediate per i wallet MetaMask»
Nessun dettaglio, quindi, sul sistema violato, su quale tecnica è stata usata o su chi ci sia dietro. Anche da parte di Lido non ci sono state dichiarazioni.
L’azienda (Metamask) ha fatto sapere che sta lavorando per risolvere il problema, soluzione insieme a partner esterni e a consulenti di sicurezza.
A essere colpito è stato MetaMask Staking, che in passato si chiamava Consensys Staking e che gestisce validatori sia per i propri clienti sia per Lido.
Per chi non lo sapesse Lido non fa girare i validatori in proprio ma li affida a un gruppo ristretto di società selezionate. Tra queste ci sono proprio MetaMask Staking e Kiln.
Quando metti i tuoi ETH su Lido Finance ricevi in cambio un token stETH, una sorta di ricevuta che vale come quota di tutto il pool e non di un singolo validatore.
MetaMask ricorda inoltre che lo staking che offre è di tipo non-custodial. Che significa? Che in pratica,a la custodia dei fondi è sempre delegata al cliente e non al validatore.
Approfondimento Liquid Staking: che cos’è e come funziona
523.000 ETH in uscita
Per mettersi al riparo MetaMask ha fatto uscire circa 17.000 validatori, che custodiscono circa 523.000 ETH . Parliamo di un controvalore di circa 1,4 miliardi di dollari. Attenzione però. Questi numeri non li ha forniti MetaMask, ma arrivano da analisi indipendenti.
Le uscite sono iniziate il 30 Settembre e MetaMask conta di completare questo processo entro il 7 Ottobre. Per riavere indietro gli ETH, però, potrebbero servire fino a 45 giorni.
Il meccanismo di funzionamento di Ethereum è noto. Escono solo un certo numero di validatori alla volta, fino a formare una coda. Ne consegue che per il prelievo serve tempo.
Per ora, 821 nodi sono ancora sotto monitoraggio, come vedi in questa infografica qui sotto.
I numeri dell’uscita cautelativa di MetaMask dai validatori Lido: ETH coinvolti, validatori in uscita, tempistica stimata e fondi effettivamente sottratti.
Fonte: MetaMask, Lido, analisi on-chain di Kaden.
eToro
raccomandato da WebEconomia- Copy Trading: copia i migliori investitori
- Smart Portfolios per diversificare
- Zero commissioni su azioni reali
Il dettaglio scoperto da Kaden
Kaden ha analizzato 19 validatori di MetaMask ,e su 18 di questi ha scoperto che le ricompense di blocco sono andate a finire nel mixer Tornado Cash.
Parliamo di circa 0,36 ETH, ovvero meno di 1.000 $.
Le ricompense di blocco non sono altro che le commissioni e i premi che un validatore incassa quando propone un blocco e vengono mandate a un indirizzo che sceglie chi gestisce il nodo.
Chi ha accesso a quei sistemi può,quindi ,spostarle senza toccare gli ETH in staking.
Tornado Cash invece mescola i fondi di tanti utenti per non far capire da dove arrivano e dove vanno. In questo modo è più difficile ricostruire i movimenti.
Cosa rischia chi ha stETH?
Da parte sua, Lido ha spiegato che chi detiene stETH non deve fare alcuna nessuna operazione.
Come detto stETH vale come quota di tutto il pool, dunque l’uscita dei validatori di MetaMask non ne abbassa direttamente il valore.
I fondi sembrerebbero al sicuro quindi. Al massimo il pool incasserà meno ricompense finché quei validatori saranno spenti.
Un validatore che non lavora perde a ogni slot mancato più o meno quanto avrebbe guadagnato. Una perdita che può diventare pesante solo dopo settimane di inattività.
Diverso è il meccanismo dello slashing. E’ un meccanismo con cui un validatore viene sanzionato, taglianfo una parte dello stake e buttandolo fuori quando ad esempio firma in modo contraddittorio. Ad esempio due blocchi per lo stesso slot.
Lido ha comunque un fondo di riserva di oltre 6.750 stETH proprio per coprire eventuali penalità o slashing causati dagli operatori, prima che le perdite arrivino a chi ha stETH.
Approfondimento Staking Ethereum: come funziona
Non è la prima volta che accade
Un evento simile era già successo a Settembre 2025 con Kiln, un altro grande operatore di Lido,. In quel caso aveva ritirato i propri validatori dopo un incidente sulla sua infrastruttura Solana. Con MetaMask siamo, quindi, al secondo caso in poco più di un anno.
Lo stesso operatore aveva già avuto un problema a Luglio 2023, quando ancora si chiamava Consensys Staking e aveva fatto uscire per errore 125 validatori. Rimasero circa 39 giorni senza ricompense.
Oggi MetaMask Staking è attivo dal 2024 e gestisce oltre 2 miliardi $ su circa 33.000 validatori.
Conclusioni
Ad oggi non sappiamo ancora quale parte dei sistemi sia stata violata e in che modo, né se l’attacco abbia toccato anche i dati degli utenti.
Anche il numero reale dei validatori a rischio non è chiaro, e dopo il comunicato, MetaMask non ha più aggiornato la situazione. Dicono solo che stanno lavorando.
Vedremo nei prossimi giorni se MetaMask darà qualche dettaglio in più sull’hack. Non ci resta che attendere.
Per iniziare è fondamentale partire a fare pratica con le demo. Vi lasciamo con i link ufficiali che sono mediati dal server di WebEconomia in modo da garantire l’accesso sicuro:
- Accedi al conto demo di eToro facendo click qui.
- Apri il tuo conto demo su XTB Broker da qui.
- Accedi al conto di trading demo proposto da AvaTrade qui.
Sono le migliori piattaforme con conti demo illimitati e sopratutto gratuiti per sempre.
