MetaMask выводит из стейкинга валидаторы на $1,4 млрд после инцидента: что это значит для держателей ETH и stETH

Что случилось

На этой неделе MetaMask сообщила об инциденте безопасности в части своей инфраструктуры. Речь не о кошельке, а о стейкинге: MetaMask запускает валидаторы Ethereum, в том числе как один из операторов в протоколе Lido. Злоумышленник перенаправил часть выплат за производство блоков на свой адрес. По оценке исследователей, он успел увести около 0,36 ETH, меньше $1000.

Сумма смешная, но реакция крупная. MetaMask на всякий случай выводит из работы все затронутые валидаторы. Компания говорит, что прямой угрозы кошелькам MetaMask не обнаружила. Значит, переводить монеты с обычного баланса кошелька или обменять криптовалюту онлайн можно как раньше.

Цифры

Число валидаторов и сумму ETH MetaMask сама не подтверждала: это подсчёт исследователей по данным сети.

Почему пострадали только награды

У валидатора Ethereum два разных адреса. Первый — адрес вывода: на него вернутся сами 32 ETH, когда валидатор выйдет из стейкинга. Второй — получатель вознаграждения: туда идут чаевые пользователей за включение транзакций и доход от порядка транзакций в блоке.

Злоумышленник добрался до второго. Он мог забирать доход от блоков, которые валидаторы производили, но не мог тронуть застейканный эфир: адрес вывода задаётся отдельно и к нему доступа не было. Поэтому MetaMask и называет стейкинг некастодиальным: оператор запускает валидатор, но вывести эфир клиента не может. Это та же разница, что между кастодиальным и некастодиальным кошельком: в первом вашим эфиром распоряжается сервис, во втором только вы.

Почему выход стоит денег

Выход — мера предосторожности, и платят за неё доходом. Пока валидатор выходит из стейкинга, а эфир ждёт вывода и новой очереди на вход, он не зарабатывает. Lido предупредила, что выходящие валидаторы, скорее всего, недополучат награды и могут получить штрафы за простой. Весь цикл, вывод и возвращение в стейкинг, займёт около 45 дней из-за очереди на вход в Ethereum.

Похожее уже было. В сентябре 2025 года провайдер стейкинга Kiln после инцидента вывел 5726 валидаторов, и по подсчёту Cryptonomist это стоило около 207 ETH недополученных наград.

Что делать держателям stETH

По словам Lido, держателям stETH ничего делать не нужно. stETH — доля в общем пуле, а не в конкретных валидаторах, и выход части операторов не меняет того, что токен обеспечен эфиром. Недополученные награды размажутся по всему пулу и чуть снизят доходность. На такие случаи у Lido есть резерв больше 6750 stETH.

Что делать тем, кто стейкал через MetaMask

• Ничего срочно делать не нужно: ваш эфир привязан к адресу вывода, оператор не может его перевести.
• Ждите новостей только из официальных каналов MetaMask: сайт, приложение и подтверждённые аккаунты.
• Заложите, что следующие полтора месяца эфир будет приносить меньше или не приносить ничего.

Осторожно: мошенники

Громкий инцидент с известным кошельком — лучшее время для фишинга. Ждите писем и сообщений вроде «срочно обновите кошелёк», «подтвердите стейк», «перенесите ETH на защищённый адрес».

• MetaMask никогда не просит секретную фразу восстановления. Кто просит, тот крадёт. Как её хранить, разобрано в статье где хранить seed-фразу, чтобы не потерять доступ к монетам.
• Не подписывайте разрешения на трату токенов на сайтах, куда пришли по ссылке из письма или личного сообщения.
• Не переводите эфир «для проверки» никуда, даже на адрес, который выглядит знакомо.

Что это говорит о стейкинге

Стейкинг через сервис — это цепочка подрядчиков: кошелёк, оператор валидаторов, протокол, их серверы и ключи. Слабое звено в любом месте бьёт по доходу всех, даже если сам эфир в безопасности. Сентябрь и так стал худшим месяцем года по взломам в крипте, и почти всё украденное ушло через инфраструктуру, а не через кошельки людей.

Самое надёжное по-прежнему — держать ключи у себя. Если стейкинговый доход больше не нужен, эфир можно обменять на биткоин без регистрации. В VertEXchange для этого не нужны аккаунт, почта и телефон, а монеты приходят сразу на ваш адрес. Тем, кто хочет переводов без публичной истории, подойдёт обмен ETH на Monero.

Частые вопросы

Угрожает ли что-то моему кошельку MetaMask?

По словам MetaMask, прямой угрозы кошелькам не обнаружено. Инцидент затронул инфраструктуру стейкинга, а не приложение кошелька и не ваши ключи.

Могли ли украсть застейканный ETH?

Нет. Злоумышленник перенаправил получателя вознаграждения, а застейканный эфир возвращается на отдельный адрес вывода. Увести удалось около 0,36 ETH дохода от блоков.

Нужно ли продавать stETH?

Lido говорит, что держателям stETH ничего делать не нужно. Выход части валидаторов немного снизит доходность пула на время их возвращения в стейкинг.

Когда валидаторы вернутся в стейкинг?

Последние затронутые валидаторы остановятся к 7 октября. Вывод эфира и новый вход в стейкинг займут около 45 дней из-за очереди в Ethereum.

Сколько стоил этот инцидент?

Сама кража — около 0,36 ETH. Гораздо больше стоят недополученные награды примерно 523 000 ETH за полтора месяца простоя, но точную сумму MetaMask не называла.