A MetaMask retira os seus validadores da Lido depois de alguém ter desviado as recompensas dos blocos

A MetaMask Staking está a retirar os seus validadores de Ethereum da Lido, depois de as recompensas por bloco da sua infraestrutura terem sido redirecionadas para um endereço financiado através do Tornado Cash. O montante efetivamente transferido é ínfimo: cerca de 0,36 ETH, menos de 1 000 dólares. O montante que está a sair da Lido por precaução, porém, não é. Um investigador calcula cerca de 523 000 ETH, o que equivale a cerca de 1,4 mil milhões de dólares.

Não consigo deixar de pensar nessa proporção. Uma fuga que se poderia cobrir com um mês de café, e uma participação de 1,4 mil milhões de dólares é retirada do maior protocolo de staking líquido da Ethereum. Isso mostra o quão pouco a MetaMask quer arriscar adivinhar o que o atacante poderia alcançar.

O que a MetaMask e a Lido afirmaram

A 30 de setembro, a MetaMask publicou no X que estava a responder a um incidente de segurança que afetava parte da sua infraestrutura. Afirmou não ter encontrado qualquer ameaça imediata às carteiras MetaMask e que estava a retirar os validadores afetados das suas operações de staking sem custódia. Seguiu-se uma atualização para os utilizadores em metamask.io.

A Lido confirmou as saídas no X e numa divulgação no fórum de governação, referindo que a causa era uma violação da infraestrutura que se encontrava sob investigação. O MetaMask Staking é o antigo Consensys Staking, um operador de nós dentro da Lido. Esperava-se que os últimos validadores afetados concluíssem a saída, embora não a retirada total, até ao final do dia 7 de outubro.

Recuperar a ETH é a parte mais demorada. A Lido afirmou que as participações retiradas regressam ao protocolo gradualmente e que o ciclo completo de saída, levantamento e reentrada pode demorar até 45 dias devido à longa fila de entrada da Ethereum. Alertou também para a perda de recompensas e possíveis penalizações por tempo de inatividade para os validadores que forem desligados antes de as suas saídas estarem concluídas.

Ambas as empresas salientaram que a MetaMask não detém as chaves de levantamento das participações dos clientes. A Lido aconselhou os detentores de stETH a não tomarem qualquer medida e destacou a sua rede de operadores de nós e um fundo de reserva de mais de 6 750 stETH.

O que a cadeia revela

Os únicos números públicos relativos ao próprio roubo provêm de um investigador independente. Kaden afirmou no X que 19 validadores da MetaMask tinham ganho recompensas de bloco e que 18 desses pagamentos foram para um endereço financiado pela Tornado, em vez de para o destinatário correto da taxa. Nem a MetaMask nem a Lido confirmaram esta informação.

O destinatário da taxa é importante neste contexto. Trata-se do endereço que um validador indica para receber as taxas prioritárias e o MEV dos blocos que propõe. Para que 18 dos 19 pagamentos fossem direcionados para outro local, alguém teve de ter sido capaz de alterar essa configuração, o que aponta para a configuração do validador, em vez de qualquer coisa do lado da carteira. Esta interpretação é minha, não da MetaMask. A empresa não revelou o que foi comprometido.

Vale a pena ter em conta as próprias ressalvas de Kaden. Ele afirmou que não era claro se o atacante poderia alterar os destinatários das taxas em todo o conjunto de validadores e que estes «provavelmente nunca tiveram a capacidade» de levantar o ETH apostado. Mas, dependendo da forma como o acesso à assinatura foi obtido, observou ele, os validadores poderiam, em princípio, ter sido deliberadamente penalizados. Essa é provavelmente a verdadeira razão para saídas tão generalizadas.

Os números relativos à escala não batem exatamente. A estimativa de Kaden era de cerca de 17 000 validadores e 523 000 ETH, com 821 validadores potencialmente afetados ainda por sair. A AMBCrypto, citando Kaden, situou o total em cerca de 513 000 ETH. Os dados da «Validator Queue» que analisou revelaram que cerca de 10 500 validadores e 336 000 ETH saíram durante o mesmo período, embora esse seja um valor referente a todo o mercado e não apenas ao MetaMask. A própria fila de saída saltou de cerca de 205 000 ETH para mais de 850 000 ETH no espaço de dois dias, segundo a AMBCrypto.

Efeitos em cadeia, até ao momento limitados

O fundador da Aave, Stani Kulechov, afirmou que o protocolo de empréstimos estava a acompanhar a situação juntamente com a Lido e não observou qualquer impacto nos seus mercados, onde o stETH é um ativo de garantia amplamente utilizado. Guy Young, da Ethena, afirmou que os ativos que garantem o USDe não têm exposição direta ao stETH nem a qualquer outro token de staking líquido. A própria ETH manteve-se abaixo dos 2 800 dólares durante toda a agitação.

A Linea, a L2 desenvolvida pela Consensys, afirmou a 2 de outubro que os validadores que suportavam o seu cofre «Yield Boost» também estavam a ser retirados, e que os fundos e o controlo do cofre não foram afetados.

Declaração de Lubin: as carteiras estão seguras, mas não serão divulgados detalhes

Joseph Lubin, fundador da Consensys, escreveu no X a 2 de outubro que, com base na investigação realizada até ao momento, não há indícios de que as carteiras MetaMask ou os fundos dos clientes nas carteiras tenham sido afetados, e que os utilizadores detêm as suas próprias chaves. Quanto aos detalhes em falta, foi direto: «Não discutimos publicamente os detalhes de um incidente em aberto.»

É compreensível como política de resposta a incidentes. Mas também deixa o mercado de staking exatamente onde começou, com 523 000 ETH em circulação e sem qualquer explicação pública.

Não é o primeiro operador da Lido a abandonar o barco

A Kiln retirou todos os seus validadores de Ethereum em setembro de 2025, depois de o seu CEO ter assinalado um potencial comprometimento da infraestrutura. A Consensys Staking, antigo nome da MetaMask Staking, retirou acidentalmente 125 validadores da Lido em 2023, na sequência de um mal-entendido, segundo o Crypto Briefing. Tratou-se de um erro, não de um ataque, mas demonstra a rapidez com que um único operador pode movimentar uma grande quantidade de staking.

Uma notícia datada de 6 de outubro afirma que as saídas estão quase concluídas e que a MetaMask Staking publicará uma análise pós-incidente nas próximas semanas. Não consegui confirmar esta informação através dos próprios canais da MetaMask, pelo que deve ser considerada não verificada. Até que exista uma análise pós-incidente, o único valor concreto nesta história é 0,36 ETH, e o que foi exatamente violado continua a ser uma incógnita.