MetaMask met hors ligne le staking Ethereum après un incident de sécurité
MetaMask a désactivé les validateurs concernés après un incident dans l’infrastructure de staking ; selon l’entreprise, les wallets n’ont pas été touchés directement, mais les récompenses et la disponibilité l’ont été.
À retenir
- MetaMask a mis hors ligne une partie de son staking Ethereum après un incident de sécurité et a désactivé par précaution les validateurs concernés.
- Un chercheur a indiqué que 18 des 19 validateurs MetaMask ayant reçu des récompenses ont envoyé ces paiements vers une adresse inattendue ; MetaMask n’a pas confirmé ces chiffres.
- Selon le signalement, environ 17 000 validateurs représentant au total près de 523 000 ETH ont été désactivés par précaution, tandis que Lido a indiqué que les détenteurs de stETH n’avaient rien à faire.
MetaMask a mis hors ligne une partie de son système de staking Ethereum après un incident de sécurité. Selon l’entreprise, les wallets MetaMask n’ont pas été touchés directement, mais une partie de l’infrastructure a été affectée et les validateurs ont été désactivés par précaution.
Un chercheur en sécurité Ethereum a indiqué que 18 des 19 validateurs MetaMask ayant reçu des récompenses pour la production de blocks avaient envoyé ces paiements vers une adresse inattendue. Il a estimé qu’environ 0,36 ETH avaient été redirigés. MetaMask n’a pas encore confirmé ces chiffres et n’a pas donné jeudi d’explication sur la manière exacte dont les systèmes ont été compromis.
Ce qui s’est exactement passé
Le staking consiste à immobiliser des ETH afin de contribuer à la sécurité du réseau Ethereum. Dans ce cadre, MetaMask fait fonctionner les systèmes qui exécutent le travail, tandis que les clients gardent le contrôle sur l’endroit où leurs coins stakés peuvent finalement être retirés. Un validateur dispose aussi d’une adresse distincte pour les récompenses issues de la production de blocks, et c’est précisément cette adresse de réception qui peut être modifiée sans que la mise initiale soit directement déplacée.
Selon le chercheur, environ 17 000 validateurs représentant au total près de 523 000 ETH ont été désactivés par précaution. MetaMask n’a pas confirmé ces chiffres. L’entreprise n’a pas non plus indiqué qu’un slashing avait eu lieu, c’est-à-dire qu’Ethereum aurait détruit une partie de la mise si un validateur agit de manière incorrecte.
Conséquences pour le staking et Lido
Lido, qui regroupe des ETH pour le staking, a indiqué que les validateurs MetaMask avaient déjà commencé à quitter le système. Les derniers devraient cesser de staker le 7 octobre, même si cela ne signifie pas automatiquement que les ETH auront déjà été retirés à ce moment-là. En raison de la file d’attente sur Ethereum, il peut falloir jusqu’à environ 45 jours pour que les validateurs puissent à nouveau entrer et sortir complètement.
Cela rend cette mesure particulièrement importante pour les revenus des validateurs concernés. Pendant la période hors service, ils perdent des récompenses et peuvent aussi subir de petites pénalités s’ils se déconnectent trop tôt. Lido a précisé que les détenteurs de stETH n’avaient aucune action à entreprendre.
Pourquoi cela compte au-delà de MetaMask
Cette affaire montre que le staking ne dépend pas seulement des coins eux-mêmes, mais aussi de l’acteur qui gère l’infrastructure. Pour les lecteurs européens de la crypto, c’est important, car de plus en plus d’utilisateurs confient leur staking à de grands prestataires plutôt que de faire tourner eux-mêmes un validateur. Dans un tel modèle, un problème au niveau opérationnel peut avoir des conséquences directes sur les récompenses, sans que l’ETH sous-jacent soit nécessairement en danger.
Au-delà de MetaMask, un important mouvement de wallet a également attiré l’attention. Le tracker blockchain Lookonchain a indiqué qu’un wallet qu’il reliait au fondateur d’Ethereum Joseph Lubin avait transféré 133 298 ETH, soit environ 356 millions de dollars (314 millions d'euros), vers une nouvelle adresse. On ne sait pas si cela était lié à la réaction de MetaMask. Ethena a également retiré des fonds par précaution de la plateforme de prêt Morpho, avant de réinvestir ces fonds plus tard après avoir obtenu davantage de clarté.
