MetaMask retire des milliers de validateurs Ethereum après la compromission d’une partie de son infrastructure. Selon le chercheur en sécurité onchain Kaden, environ 17 000 validateurs exploités par MetaMask, détenant près de 523 000 ETH, ont été retirés par précaution après le détournement des récompenses de frais de 18 des 19 validateurs ayant proposé des blocs. Kaden estime que l’attaquant a obtenu environ 0,36 ETH. MetaMask n’a ni confirmé ces chiffres ni révélé la cause de l’incident.
Pourquoi c’est important
La faible perte de récompenses signalée n’est pas le principal risque. On ignore comment l’attaquant a modifié les destinataires des frais et si les clés de signature des validateurs ont été exposées. Des clés compromises pourraient être utilisées d’une manière entraînant des pénalités de slashing. Selon Kaden, 821 validateurs potentiellement concernés n’étaient pas encore sortis, dont trois liés au détournement présumé des récompenses.
MetaMask a indiqué retirer les validateurs concernés par précaution et n’avoir identifié aucune menace immédiate pour les portefeuilles MetaMask. L’entreprise précise également que son service de staking est non dépositaire et qu’elle ne contrôle pas les clés de retrait de ses clients. Cette séparation protège les ETH placés en staking contre une personne disposant uniquement d’un accès aux validateurs, mais ne dissipe pas le risque de pénalités.
Impact sur le marché
Mercredi, environ 773 447 ETH attendaient de quitter l’ensemble des validateurs Ethereum, selon Validator Queue. Il s’agit de la plus longue file de sortie depuis décembre 2025. Elle correspondait à une attente de 13 jours et 10 heures pour sortir, suivie d’un délai de retrait estimé à 7,6 jours. Ethereum limite le rythme des sorties pour protéger son consensus par preuve d’enjeu. Une vague de départs se résorbe donc progressivement.
La perturbation pourrait durer davantage pour les ETH liés à MetaMask et placés en staking via Lido. Selon Lido, sortir, retirer les fonds puis revenir parmi les validateurs pourrait prendre jusqu’à 45 jours, la file d’entrée d’Ethereum atteignant actuellement 27 jours. MetaMask n’a pas précisé combien de validateurs ont été touchés, si des clés de signature ont été exposées ni si des pénalités de slashing ont été appliquées.
Questions fréquemment posées
-
Combien d’ETH MetaMask aurait-il retirés selon le chercheur ?
Kaden estime qu’environ 17 000 validateurs exploités par MetaMask, détenant près de 523 000 ETH, ont été retirés par précaution. MetaMask n’a pas confirmé ces chiffres.
-
Qu’aurait obtenu l’attaquant ?
Selon Kaden, les récompenses de frais de 18 des 19 validateurs ayant proposé des blocs ont été détournées, rapportant environ 0,36 ETH à l’attaquant. L’étendue de ses accès reste incertaine.
-
Les fonds des portefeuilles MetaMask ou les ETH en staking courent-ils un risque immédiat ?
MetaMask dit n’avoir identifié aucune menace immédiate pour ses portefeuilles. L’entreprise ne contrôle pas les clés de retrait de ses clients, ce qui empêcherait une personne ayant uniquement accès aux validateurs de retirer les ETH placés en staking.
-
Combien de temps les validateurs Ethereum pourraient-ils attendre avant un retrait ?
Selon les données de Validator Queue, la sortie nécessitait mercredi une attente de 13 jours et 10 heures, suivie d’un délai de retrait estimé à 7,6 jours.
-
Pourquoi le retour des ETH liés à MetaMask parmi les validateurs pourrait-il prendre plus de temps ?
Selon Lido, sortir, retirer les fonds puis revenir parmi les validateurs pourrait prendre jusqu’à 45 jours. Les validateurs qui reviennent doivent aussi passer par une file d’entrée, dont l’attente était de 27 jours.
WuBlockchain
Crypto News
CoinDesk
TheBlock
Crypto Rank News