MetaMask zieht seine Ethereum-Validierer aus dem Lido Staking-Protokoll zurück, nachdem das Unternehmen eine „laufende Sicherheitsvorfall“ in seiner eigenen Infrastruktur entdeckt hat. Der Wallet-Entwickler gab die Maßnahme am Mittwoch bekannt und erklärte, er werde die betroffenen Validierer innerhalb seiner nicht-verwahrten Staking-Operationen als Vorsichtsmaßnahme verlassen.
Eine bedeutende Abhebung wurde von Lido vorgenommen, das die größte Liquid-Staking-Plattform auf Ethereum ist. MetaMask Staking – ehemals Consensys Staking – betreibt Validierer auf Lido, sodass diese Maßnahme einen wesentlichen Teil des Staking-Marktes betrifft. Lido gab die Abgänge in einer Sicherheitswarnung bekannt, die am Mittwoch in seinem Governance-Forum veröffentlicht wurde und den Grund als Kompromittierung der Infrastruktur bezeichnete, die derzeit untersucht wird.
Der Sicherheitsvorfall
MetaMask teilt mit, dass es „keine unmittelbare Bedrohung für MetaMask-Wallets“ festgestellt habe und nun intern mit Unterstützung von Sicherheitsexperten und Geschäftspartnern daran arbeite. Das Unternehmen distanziert sich außerdem von Validierern, die in seine nicht-verwahrten Staking-Arbeiten involviert sind, und arbeitet gleichzeitig mit Kunden und Partnern zusammen.
„Wir reagieren auf einen Sicherheitsvorfall, der einen Teil unserer Infrastruktur betrifft“, schrieb MetaMask. „Zum gegenwärtigen Zeitpunkt haben wir keine unmittelbare Bedrohung für MetaMask-Wallets festgestellt.“
Bis Ende Oktober werden die verbleibenden Validierer voraussichtlich aussteigen, obwohl sie nicht vollständig abgezogen werden 7. Lido listete die Abgänge als eine der getroffenen Maßnahmen auf, und keines der Unternehmen gab an, ob die Validierer von MetaMask an anderer Stelle tätig sind.
Was Lido sagte
Die Ausbreitung der Knotenbetreiber des Unternehmens und ein Ad-hoc-Reservefonds von mehr als 6.750 stETH dienen laut Lido als Puffer gegen Störungen. Das Unternehmen erklärte, dass keine Maßnahmen von stETH-Inhabern, seinem Liquid-Staking-Token, erforderlich sind.
Lido wies darauf hin, dass der Stake, der das Protokoll verlässt, im Laufe der Zeit wieder zu ihm zurückkehren wird, da Validierer den Prozess des Verlassens, Abhebens und anschließenden Wiederbetretens durchlaufen. Die gesamte Reise dauert bis zu 45 Tage, aufgrund der langen Warteschlange für den Eintritt in Ethereum.
Lido hat erklärt, dass dieser Wechsel wahrscheinlich den Verlust von Prämien bedeuten wird, zusammen mit möglicher Bestrafung für Maschinen, die aufhören zu laufen, wenn sie in den kommenden Tagen offline gehen, um das Risiko von Strafen für das Netzwerk zu verringern. Die relevanten Maschinen haben bereits mit dem Verfahren begonnen.
Die Größenordnung des Ausstiegs
Unabhängige Analysten, ohne Bestätigung von beiden Unternehmen, haben die Größenordnung des Hacks geschätzt. Forscher Kaden wies darauf hin, dass 19 MetaMask-Validatoren Blockbelohnungen verdient hatten und dass 18 dieser Zahlungen an eine Adresse gingen, die über den Tornado Cash-Mixer finanziert wurde, anstatt an den vorgesehenen Gebührenempfänger, was insgesamt etwa 0,36 ETH entspricht, was bei den aktuellen Preisen unter 1.000 US-Dollar liegt.
Derselbe Test ergab rund 17.000 Validatoren mit Beständen von etwa 523.000 ETH, die derzeit auf rund 1,4 Milliarden US-Dollar geschätzt werden, die als Sicherheitsmaßnahme ausgesetzt werden. Einige 821 potenziell betroffene Validatoren sind noch nicht abgewandert.
Der Forscher sagte, es sei unklar, ob der Angreifer die Gebührenempfänger für den gesamten Satz ändern konnte, und dass sie „wahrscheinlich nie die Fähigkeit“ hatten, gestaktes ETH abzuheben. Validatoren könnten jedoch grundsätzlich absichtlich gestrichen werden, je nachdem, wie der Zugriff auf die Signatur erhalten wurde.
Wer ist noch am Beobachten
Stani Kulechov, der Aave gründete, sagte, dass sowohl das Kreditprotokoll als auch Lido die Situation überwachen, und er wies darauf hin, dass es keine Auswirkungen auf die Aave-Märkte gab. Das Token StETH gehört zu den am häufigsten verwendeten Sicherheiten auf der Plattform.
Guy Young, der Gründer von Ethena, erklärte, dass die Vermögenswerte, die seinen USDe-Syntheseteil-Dollar stützen, derzeit keine direkte Exposition gegenüber stETH oder einem anderen Liquid-Staking-Token haben. Er erwartete keine Auswirkungen.
Ein vertrautes Muster
Innerhalb von etwas mehr als einem Jahr ist dies bereits der zweite Vorfall, bei dem ein wichtiger Lido-Betreiber in Schwierigkeiten geriet. Kiln zog im September 2025 alle seine Ethereum-Validatoren zurück, nachdem sein CEO dies als einen möglichen Verstoß gegen seine Infrastruktur beschrieb, wobei vor diesem Vorfall ein Solana-Vorfall mit SwissBorg aufgetreten war.
Von beiden Unternehmen wurden keine Details zu dem Verstoß, wie er geschah oder wer ihn begangen hat, bekannt gegeben. Eine gründliche Untersuchung wird durchgeführt, und weitere Informationen werden erwartet.
Was das für stETH-Besitzer bedeutet (
Die wichtigsten Fakten für stETH-Besitzer: (
- Laut Lido ist keine Aktion von stETH-Besitzern erforderlich. (
- ETH-Auszahlungen von ausgeschiedenen Validatoren werden bis zu 45 Tage dauern. (
- Es sind Strafen für Ausfallzeiten möglich, wenn Validatoren offline gehen. (
- Lidos Node-Operator-Verteilung und Reservefonds wirken als Puffer. (
Warum der Ausstieg wichtig ist (
Was den Ausstieg von MetaMask auszeichnet, ist seine Größenordnung. Das Staking-Team des Unternehmens betreibt Validatoren auf Lido, dem größten Liquid-Staking-Protokoll auf Ethereum. (
Es sieht so aus, als hätte das Angebot die Personen erreicht, die die Gebühren erhalten sollten. Die Ergebnisse der Studie deuten darauf hin, dass der Hacker Blockzahlungen an einen Tornado Cash-Mixing-Service anstelle des korrekten Gebührenempfängers gesendet hat, was etwa 0,36 ETH, unter 1.000 US-Dollar zum heutigen Kurs, entspricht. (
Der Forscher sagte, es sei unklar, ob der Angreifer die Gebührenempfänger für den gesamten Satz ändern konnte, und dass er „wahrscheinlich nie die Fähigkeit“ hatte, gestaktes ETH abzuheben. Validatoren könnten jedoch grundsätzlich absichtlich gestrichen werden, je nachdem, wie der Zugriff auf die Signatur erhalten wurde. (
Der lange Weg nach Hause (
Die 45-tägige Auszahlungsfrist ist eine Erinnerung daran, wie langsam das Ethereum-Ökosystem sein kann. Validatoren können ihre Mittel nicht einfach aus Lido ziehen und unter die Kontrolle von MetaMask zurückversetzen. )
Die Schlange für Abhebungen ist länger als zuvor, sodass ETH schrittweise, Validator für Validator, zurückkehren wird. Infolgedessen sind stETH-Inhaber weiterhin dem Prozess ausgesetzt, bis der vollständige Zyklus abgeschlossen ist.
Der Abzug eines Validator-Knotens durch MetaMask war ein defensiver Schritt und keine Aussage über einen spezifischen Fehler. Das Unternehmen hat es unterlassen, zu äußern, ob seine verbleibenden Validator-Operationen ähnlichen Risiken ausgesetzt sind, und hat sowohl was offengelegt wurde als auch wer die Offenlegung vorgenommen hat, geheim gehalten.
Die Untersuchung läuft noch, und MetaMask hat weitere Updates versprochen.
Was als Nächstes geschieht
Die kommenden Tage werden zeigen, was geschieht. Validatoren werden ausscheiden, ETH wird an das Protokoll zurückkehren, und Beobachter werden abwarten, ob Konsequenzen folgen.
Der Ausstieg von Kiln erfolgte bereits im vergangenen Jahr eigenständig. Beide Situationen umfassten Verstöße gegen Systeme, und jede davon wurde unabhängig voneinander untersucht.
Diese Vorgeschichte veranlasste MetaMask zu seinem Schritt, der die Entscheidung beinhaltet, auszusteigen, anstatt abzuwarten, ob sich das Problem ausbreitet.
stETH-Inhaber sollten einfach ihre Positionen halten, so Lido, das erklärt hat, dass kein Handeln erforderlich ist. Der Reservefonds des Unternehmens ist darauf ausgelegt, die Störung zu bewältigen.
Ob die Branche das Kernproblem lösen kann, bleibt die größere Frage. Kompromisse an der Infrastruktur setzen sich fort, und die damit verbundenen Risiken nehmen weiter zu.
Quellenmaterial: „MetaMask verlässt Lido-Validatoren angesichts eines Infrastruktur-‘Sicherheitsvorfalls’“, Decrypt.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.