MetaMask sofre ataque e retira validadores da Ethereum

MetaMask anunciou na noite de quarta-feira um incidente de segurança que afetou parte de sua infraestrutura. Por precaução, a empresa iniciou a saída de seus validadores Ethereum operados via Lido. Ela ressalta, no entanto, não ter detectado nenhuma ameaça imediata para as carteiras. Por enquanto, a origem e a extensão da violação permanecem desconhecidas.

Uma saída preventiva, não uma emergência

O Lido atualiza regularmente seu parque de validadores. Neste verão, o protocolo anunciou particularmente sua intenção de agrupar seus 8 milhões de ETH em muito menos validadores.

Desta vez, o contexto é diferente. Em uma declaração publicada em 30 de setembro às 23h35 UTC, a MetaMask menciona um incidente de segurança que afeta parte de sua infraestrutura. A empresa assegura, no entanto, não ter identificado nenhuma ameaça imediata para as carteiras.

Pouco depois, MetaMask Staking, anteriormente Consensys Staking, confirmou no fórum de governança do Lido o início da saída de seus validadores ETH, após uma investigação sobre uma violação em sua infraestrutura.

O cronograma permanece importante. As últimas saídas devem ocorrer até 7 de outubro. No entanto, esta etapa não significa que os ETH retornarão imediatamente ao staking. Entre a saída, a retirada e uma eventual reentrada, o processo pode durar até 45 dias devido à fila de validadores.

Para os detentores de stETH, nenhuma ação é necessária. Contudo, a MetaMask pode sofrer uma queda temporária nas recompensas. Penalidades relacionadas à indisponibilidade dos validadores também permanecem possíveis se alguns deles ficarem offline antes da saída completa.

Um roteiro já visto no Lido

Saídas preventivas de operadores são uma rotina dolorosa para o Lido, cujas saídas massivas já haviam fragilizado o modelo neste ano. Em setembro de 2025, o provedor Kiln retirou cerca de 5.726 validadores após a violação do token GitHub de um engenheiro, uma intrusão que resultou em perda de fundos de um cliente na Solana. O balanço documentado pelo Lido alcança aproximadamente 207 ETH em recompensas perdidas.

Outros precedentes marcam a história do protocolo, de Numic em 2024 a InfStones em 2023. MetaMask Staking, então sob o nome Consensys, havia retirado por engano 125 validadores do Lido em 2023, antes de compensar os stakers. Desta vez, o Lido reforça suas proteções, com um conjunto diversificado de operadores e um fundo de reserva temporário de mais de 6.750 stETH.

A MetaMask não revelou quais sistemas foram comprometidos, como, nem se dados de usuários foram vazados. A questão da extensão vai além do staking. A empresa iniciou uma investigação completa e promete atualizações; as notícias do MetaMask trarão mais informações sobre o incidente.

O episódio acontece em um contexto movimentado para a Consensys, reorganizada entre carteira para o grande público e atividades de infraestrutura, com uma possível abertura de capital em estudo desde o início do ano.

O desdobramento depende de duas incógnitas. A primeira é a origem exata da violação e sua possível extensão além do staking. A segunda é o retorno do MetaMask entre os operadores, uma vez que o incidente seja resolvido. A mecânica das saídas, por sua vez, não é nada excepcional. Os parques de validadores movem-se conforme os riscos, e até a Ethereum Foundation retirou mais de 17.000 ETH do staking este ano.