MetaMask saca del staking validadores con 1400 millones de dólares tras un incidente: qué significa para quienes tienen ETH y stETH

Qué pasó

Esta semana MetaMask informó de un incidente de seguridad en parte de su infraestructura. No afecta a la billetera, sino al staking: MetaMask opera validadores de Ethereum, también como uno de los operadores del protocolo Lido. Un atacante desvió a su propia dirección parte de los pagos por producir bloques. Según los investigadores, alcanzó a llevarse unos 0,36 ETH, menos de 1000 dólares.

La cifra es ridícula, pero la reacción es enorme. Por precaución, MetaMask está retirando todos los validadores afectados. La empresa asegura que no detectó ninguna amenaza directa para las billeteras de MetaMask. Eso significa que puedes seguir enviando monedas desde el saldo normal de la billetera o cambiar criptomonedas online como siempre.

Las cifras

MetaMask no confirmó por su cuenta el número de validadores ni la cantidad de ETH: son cálculos de los investigadores a partir de los datos de la red.

Por qué solo se vieron afectadas las recompensas

Un validador de Ethereum tiene dos direcciones distintas. La primera es la dirección de retiro: ahí vuelven los 32 ETH cuando el validador sale del staking. La segunda es el receptor de comisiones (fee recipient): ahí llegan las propinas que pagan los usuarios para que se incluyan sus transacciones y los ingresos por el orden de las transacciones en el bloque (MEV).

El atacante llegó a la segunda. Podía quedarse con los ingresos de los bloques que producían los validadores, pero no podía tocar el ether en staking: la dirección de retiro se define por separado y no tenía acceso a ella. Por eso MetaMask describe su staking como no custodio: el operador pone en marcha el validador, pero no puede retirar el ether del cliente. Es la misma diferencia que se ve al comparar un monedero custodio o no custodio: en el primero tu ether lo controla el servicio; en el segundo, solo tú.

Por qué la salida cuesta dinero

La salida es una medida de precaución y se paga con rendimiento. Mientras el validador sale del staking y el ether espera el retiro y una nueva cola de entrada, no genera nada. Lido advirtió que los validadores que salen probablemente dejarán de cobrar recompensas y podrían recibir penalizaciones por inactividad. El ciclo completo, retiro y regreso al staking, tardará unos 45 días por la cola de entrada de Ethereum.

No es la primera vez. En septiembre de 2025, el proveedor de staking Kiln retiró 5726 validadores tras un incidente y, según los cálculos de Cryptonomist, eso le costó unos 207 ETH en recompensas no cobradas.

Qué deben hacer quienes tienen stETH

Según Lido, quienes tienen stETH no tienen que hacer nada. stETH es una participación en un fondo común, no en validadores concretos, y la salida de algunos operadores no cambia el hecho de que el token está respaldado por ether. Las recompensas perdidas se repartirán entre todo el fondo y bajarán un poco el rendimiento. Para estos casos, Lido tiene una reserva de más de 6750 stETH.

Qué hacer si hiciste staking con MetaMask

• No hace falta hacer nada con urgencia: tu ether está vinculado a la dirección de retiro y el operador no puede moverlo.
• Espera noticias solo por los canales oficiales de MetaMask: el sitio web, la aplicación y las cuentas verificadas.
• Cuenta con que durante el próximo mes y medio tu ether rendirá menos o no rendirá nada.

Cuidado con las estafas

Un incidente sonado en una billetera conocida es el mejor momento para el phishing. Espera correos y mensajes del tipo «actualiza tu billetera urgentemente», «confirma tu staking» o «transfiere tus ETH a una dirección protegida».

• MetaMask nunca pide la frase secreta de recuperación. Quien te la pide, te está robando. Si no sabes cómo guardarla, lee la guía sobre dónde guardar la frase semilla para no perder el acceso a tus monedas.
• No firmes permisos de gasto de tokens en sitios a los que llegaste por un enlace de un correo o de un mensaje privado.
• No envíes ether «para verificar» a ningún sitio, aunque la dirección te resulte conocida.

Qué dice esto del staking

Hacer staking a través de un servicio significa depender de una cadena de intermediarios: la billetera, el operador de validadores, el protocolo, sus servidores y sus claves. Un eslabón débil en cualquier punto golpea los ingresos de todos, aunque el ether en sí esté a salvo. Septiembre ya fue el peor mes del año en hackeos cripto, y casi todo lo robado salió por fallos de infraestructura, no por las billeteras de las personas.

Lo más seguro sigue siendo guardar tus propias claves. Si ya no te interesa el rendimiento del staking, puedes cambiar ETH por bitcoin sin registro. En VertEXchange no necesitas cuenta, correo ni teléfono, y las monedas llegan directamente a tu dirección. Y si quieres transferencias sin un historial público, te sirve cambiar ETH por Monero.

Preguntas frecuentes

¿Corre peligro mi billetera de MetaMask?

Según MetaMask, no se detectó ninguna amenaza directa para las billeteras. El incidente afectó a la infraestructura de staking, no a la aplicación de la billetera ni a tus claves.

¿Pudieron robar el ETH en staking?

No. El atacante desvió el receptor de comisiones, y el ether en staking vuelve a una dirección de retiro aparte. Solo consiguió llevarse unos 0,36 ETH de ingresos por bloques.

¿Tengo que vender mis stETH?

Lido dice que quienes tienen stETH no tienen que hacer nada. La salida de parte de los validadores bajará un poco el rendimiento del fondo mientras vuelven al staking.

¿Cuándo volverán los validadores al staking?

Los últimos validadores afectados se detendrán antes del 7 de octubre. El retiro del ether y la nueva entrada en el staking tardarán unos 45 días por la cola de Ethereum.

¿Cuánto costó este incidente?

El robo en sí fue de unos 0,36 ETH. Cuestan mucho más las recompensas que dejarán de generar unos 523 000 ETH durante mes y medio de inactividad, pero MetaMask no dio una cifra exacta.