MetaMask retire ses validateurs de Lido après un incident de sécurité

MetaMask a annoncé mercredi soir un incident de sécurité touchant une partie de son infrastructure. Par précaution, la société lance la sortie de ses validateurs Ethereum opérés via Lido. Elle précise toutefois n’avoir détecté aucune menace immédiate pour les portefeuilles. Pour l’instant, l’origine et l’étendue de la compromission restent inconnues.

Une sortie préventive, pas une urgence

Lido fait régulièrement évoluer son parc de validateurs. Cet été, le protocole avait notamment annoncé son intention de regrouper ses 8 millions d’ETH dans beaucoup moins de validateurs.

Cette fois, le contexte est différent. Dans une déclaration publiée le 30 septembre à 23 h 35 UTC, MetaMask évoque un incident de sécurité touchant une partie de son infrastructure. La société assure néanmoins n’avoir identifié aucune menace immédiate pour les portefeuilles.

Peu après, MetaMask Staking, anciennement Consensys Staking, a confirmé sur le forum de gouvernance de Lido le début de la sortie de ses validateurs ETH, à la suite d’une enquête sur une compromission de son infrastructure.

Le calendrier reste important. Les dernières sorties devraient avoir lieu d’ici le 7 octobre. Cependant, cette étape ne signifie pas que les ETH reviendront immédiatement dans le staking. Entre la sortie, le retrait et une éventuelle réentrée, le processus pourrait durer jusqu’à 45 jours en raison de la file d’attente des validateurs.

Pour les détenteurs de stETH, aucune action n’est nécessaire. En revanche, MetaMask pourrait subir une baisse temporaire de récompenses. Des pénalités liées à l’indisponibilité des validateurs restent également possibles si certains d’entre eux passent hors ligne avant leur sortie complète.

Un schéma déjà vu chez Lido

Les sorties préventives d’opérateurs sont une routine douloureuse pour Lido, dont les sorties massives avaient déjà fragilisé le modèle cette année. En septembre 2025, le fournisseur Kiln avait sorti quelque 5 726 validateurs après la compromission du jeton GitHub d’un ingénieur, une intrusion soldée par une perte de fonds chez un client sur Solana. Le bilan documenté par Lido atteint environ 207 ETH de récompenses manquées.

D’autres précédents jalonnent l’histoire du protocole, de Numic en 2024 à InfStones en 2023. MetaMask Staking, alors sous le nom Consensys, avait lui-même sorti par erreur 125 validateurs Lido en 2023, avant de compenser les stakers. Cette fois, Lido avance ses pare-feux, un ensemble diversifié d’opérateurs et un fonds de réserve temporaire de plus de 6 750 stETH.

MetaMask n’a pas dit quels systèmes ont été compromis, comment, ni si des données utilisateurs ont fuité. La question de l’ampleur dépasse le staking. L’entreprise a engagé une enquête complète et promet des mises à jour ; l’actualité de MetaMask en dira plus sur l’incident. 

L’épisode s’invite en tout cas dans un contexte chargé pour Consensys, réorganisé entre portefeuille grand public et activités d’infrastructure, avec une possible introduction en Bourse à l’étude depuis le début de l’année.

La suite tient à deux inconnues. La première est l’origine exacte de la compromission, et son éventuelle extension hors du staking. La seconde est le retour de MetaMask parmi les opérateurs, une fois l’incident résolu. La mécanique des sorties, elle, n’a rien d’exceptionnel. Les parcs de validateurs bougent au rythme des risques, et même l’Ethereum Foundation a retiré plus de 17 000 ETH de staking cette année.