MetaMask zieht nach der Kompromittierung eines Teils seiner Infrastruktur Tausende Ethereum-Validatoren ab. Laut dem Onchain-Sicherheitsforscher Kaden wurden vorsorglich rund 17.000 von MetaMask betriebene Validatoren mit etwa 523.000 ETH aus dem Netzwerk genommen, nachdem die Gebührenprämien von 18 der 19 Validatoren, die Blöcke vorschlugen, umgeleitet worden waren. Kaden schätzt die Beute des Angreifers auf etwa 0,36 ETH. MetaMask hat diese Zahlen weder bestätigt noch die Ursache offengelegt.
Warum das wichtig ist
Der gemeldete geringe Verlust an Gebührenprämien ist nicht das Hauptrisiko. Unklar ist, wie der Angreifer die Empfänger der Gebühren ändern konnte und ob die Signierschlüssel der Validatoren offengelegt wurden. Kompromittierte Signierschlüssel könnten so missbraucht werden, dass Slashing-Strafen anfallen. Laut Kaden waren 821 potenziell betroffene Validatoren noch nicht ausgetreten, darunter drei, die mit der mutmaßlichen Umleitung der Prämien in Verbindung stehen.
MetaMask erklärte, betroffene Validatoren vorsorglich abzuziehen, und habe keine unmittelbare Bedrohung für MetaMask-Wallets festgestellt. Das Unternehmen betonte zudem, dass sein Staking-Angebot ohne Verwahrung der Kundengelder funktioniert und es die Auszahlungsschlüssel der Kunden nicht kontrolliert. Diese Trennung schützt die hinterlegten ETH vor jemandem, der nur Zugriff auf Validator-Ebene hat. Die Frage möglicher Strafen bleibt aber offen.
Auswirkungen auf den Markt
Laut Validator Queue warteten am Mittwoch rund 773.447 ETH darauf, das Ethereum-Validatorenset zu verlassen. Das war der größte Austrittsrückstau seit Dezember 2025. Die Warteschlange entsprach einer Wartezeit von 13 Tagen und 10 Stunden bis zum Austritt, gefolgt von einer geschätzten Verzögerung von 7,6 Tagen bis zur Auszahlung. Ethereum begrenzt das Tempo der Austritte, um seinen Proof-of-Stake-Konsens zu schützen. Eine Austrittswelle wird daher nur schrittweise abgearbeitet.
Für über Lido betriebene, mit MetaMask verbundene Staking-Einlagen könnte die Unterbrechung länger dauern. Lido schätzt, dass Austritt, Auszahlung und anschließender Wiedereintritt bis zu 45 Tage beanspruchen könnten. Die Ethereum-Warteschlange für den Eintritt liegt derzeit bei 27 Tagen. MetaMask hat nicht offengelegt, wie viele Validatoren betroffen waren, ob Signierschlüssel offengelegt wurden oder ob Slashing-Strafen angefallen sind.
Häufig gestellte Fragen
-
Wie viel ETH wurde laut dem Forscher durch MetaMask abgezogen?
Laut Kaden wurden rund 17.000 von MetaMask betriebene Validatoren mit etwa 523.000 ETH vorsorglich aus dem Netzwerk genommen. MetaMask hat diese Zahlen nicht bestätigt.
-
Was soll der Angreifer erbeutet haben?
Laut Kaden wurden Gebührenprämien von 18 der 19 Validatoren, die Blöcke vorschlugen, umgeleitet. Er schätzt die Beute auf etwa 0,36 ETH. Wie weit der Zugriff des Angreifers reichte, ist unklar.
-
Sind Guthaben in MetaMask-Wallets oder hinterlegte ETH unmittelbar gefährdet?
MetaMask hat nach eigenen Angaben keine unmittelbare Bedrohung für seine Wallets festgestellt. Da es die Auszahlungsschlüssel der Kunden nicht kontrolliert, könnte jemand mit Zugriff nur auf Validator-Ebene die hinterlegten ETH nicht abziehen.
-
Wie lange müssen Ethereum-Validatoren auf eine Auszahlung warten?
Laut Validator Queue betrug die Wartezeit in der Austrittswarteschlange am Mittwoch 13 Tage und 10 Stunden. Bis zur Auszahlung kamen geschätzt weitere 7,6 Tage hinzu.
-
Warum könnte der Wiedereintritt für mit MetaMask verbundene Staking-Einlagen länger dauern?
Lido schätzt, dass Austritt, Auszahlung und Wiedereintritt bis zu 45 Tage dauern könnten. Zurückkehrende Validatoren müssen auch eine Eintrittswarteschlange durchlaufen, deren Wartezeit bei 27 Tagen lag.
WuBlockchain
Crypto News
CoinDesk
Lookonchain