MetaMask retira sus validadores de Lido después de que alguien desviara las recompensas por bloque

MetaMask Staking está retirando sus validadores de Ethereum de Lido después de que las recompensas por bloque de su infraestructura se redirigieran a una dirección financiada a través de Tornado Cash. La cantidad que realmente se transfirió es mínima: unos 0,36 ETH, menos de 1.000 dólares. Sin embargo, la cantidad que sale de Lido como medida de precaución no lo es. Un investigador calcula que son aproximadamente 523 000 ETH, unos 1 400 millones de dólares.

No dejo de pensar en esa proporción. Una fuga que se podría cubrir con lo que cuesta el café de un mes, y una participación de 1.4 mil millones de dólares es retirada del mayor protocolo de staking líquido de Ethereum. Eso da una idea de lo poco que MetaMask quiere arriesgarse a adivinar hasta dónde podría llegar el atacante.

Lo que han dicho MetaMask y Lido

El 30 de septiembre, MetaMask publicó en X que estaba respondiendo a un incidente de seguridad que afectaba a parte de su infraestructura. Afirmó que no había detectado ninguna amenaza inmediata para las carteras de MetaMask y que estaba saliendo de los validadores afectados dentro de sus operaciones de staking sin custodia. A continuación se publicó una actualización para los usuarios en metamask.io.

Lido confirmó las salidas en X y en un comunicado en el foro de gobernanza, calificando la causa como un compromiso de la infraestructura que se encuentra bajo investigación. MetaMask Staking es el antiguo Consensys Staking, un operador de nodos dentro de Lido. Se esperaba que los últimos validadores afectados terminaran de salir, aunque sin retirarse por completo, a finales del 7 de octubre.

Recuperar el ETH es la parte que lleva más tiempo. Lido indicó que las participaciones retiradas vuelven al protocolo de forma gradual y que el ciclo completo de salida, retirada y reincorporación podría tardar hasta 45 días debido a la larga cola de entrada de Ethereum. También advirtió de la pérdida de recompensas y de posibles penalizaciones por tiempo de inactividad para los validadores que se desconecten antes de que se completen sus salidas.

Ambas empresas hicieron hincapié en que MetaMask no dispone de las claves de retirada de las participaciones de los clientes. Lido indicó a los titulares de stETH que no hicieran nada y destacó su red de operadores de nodos y un fondo de reserva de más de 6 750 stETH.

Lo que muestra la cadena

Las únicas cifras públicas sobre el propio robo provienen de un investigador independiente. Kaden afirmó en X que 19 validadores de MetaMask habían obtenido recompensas por bloques y que 18 de esos pagos se destinaron a una dirección financiada por Tornado en lugar de al destinatario correcto de las comisiones. Ni MetaMask ni Lido han confirmado esto.

El destinatario de las comisiones es clave en este caso. Se trata de la dirección que un validador designa para recibir las comisiones prioritarias y el MEV de los bloques que propone. Para que 18 de los 19 pagos acabaran en otro lugar, alguien tuvo que haber podido cambiar esa configuración, lo que apunta a la configuración del validador más que a cualquier aspecto relacionado con la cartera. Esa es mi interpretación, no la de MetaMask. La empresa no ha especificado qué se vio comprometido.

Vale la pena tener en cuenta las propias salvedades de Kaden. Afirmó que no estaba claro si el atacante podía cambiar los destinatarios de las comisiones en todo el conjunto de validadores, y que «probablemente nunca tuvieron la capacidad» de retirar el ETH apostado. Sin embargo, dependiendo de cómo se obtuviera el acceso para firmar, señaló, en principio se podría haber reducido deliberadamente la recompensa de los validadores. Esa es probablemente la verdadera razón de unas salidas tan generalizadas.

Las cifras de la escala no cuadran del todo. La estimación de Kaden era de unos 17 000 validadores y 523 000 ETH, con 821 validadores potencialmente afectados que aún no se han retirado. AMBCrypto, citando a Kaden, situó el total en cerca de 513 000 ETH. Los datos de Validator Queue que analizó mostraban que aproximadamente 10 500 validadores y 336 000 ETH se retiraron durante el mismo periodo, aunque se trata de una cifra correspondiente a todo el mercado y no solo a MetaMask. La propia cola de salida pasó de unos 205 000 ETH a más de 850 000 ETH en dos días, según AMBCrypto.

Efectos en cadena, hasta ahora limitados

El fundador de Aave, Stani Kulechov, afirmó que el protocolo de préstamos estaba siguiendo de cerca la situación junto con Lido y no observó ningún impacto en sus mercados, donde el stETH es un activo de garantía muy utilizado. Guy Young, de Ethena, señaló que los activos que respaldan el USDe no tienen exposición directa al stETH ni a ningún otro token de staking líquido. La propia ETH se mantuvo por debajo de los 2.800 dólares durante toda la agitación.

Linea, la L2 desarrollada por Consensys, comunicó el 2 de octubre que los validadores que respaldaban su caja «Yield Boost» también estaban siendo retirados, y que ni los fondos ni el control de la caja se veían afectados.

Declaración de Lubin: las carteras están a salvo, no se darán más detalles

Joseph Lubin, fundador de Consensys, escribió en X el 2 de octubre que, según la investigación realizada hasta el momento, no hay indicios de que las carteras de MetaMask o los fondos de los clientes en dichas carteras se hayan visto afectados, y que los usuarios conservan sus propias claves. Sobre la falta de detalles, fue tajante: «No comentamos públicamente los detalles de un incidente que aún está en curso».

Es una política de respuesta ante incidentes razonable. Además, deja al mercado de staking exactamente donde estaba, con 523 000 ETH en juego y sin ninguna explicación pública.

No es el primer operador de Lido en abandonar el barco

Kiln retiró todos sus validadores de Ethereum en septiembre de 2025 después de que su director ejecutivo alertara de un posible riesgo para la infraestructura. Consensys Staking, el nombre anterior de MetaMask Staking, retiró en una ocasión por error 125 validadores de Lido en 2023 tras un malentendido, según Crypto Briefing. Se trató de un error, no de un ataque, pero demuestra la rapidez con la que un solo operador puede mover una gran cantidad de staking.

Un informe con fecha del 6 de octubre indica que las retiradas están casi completadas y que MetaMask Staking publicará un análisis retrospectivo en las próximas semanas. No he podido confirmarlo a través de los propios canales de MetaMask, así que considéralo una información sin verificar. Hasta que exista ese análisis, la única cifra concreta de esta historia es 0,36 ETH, y lo que se vio afectado exactamente sigue siendo una incógnita.