- MetaMask Lido retire par précaution les validateurs Ethereum concernés de sa plateforme après avoir découvert une faille de sécurité dans une partie de son infrastructure.
- L'entreprise dit qu'elle a aucun signe immédiat de danger aux portefeuilles MetaMask et n'a pas demandé aux utilisateurs de transférer des fonds.
- Un chercheur a repéré environ 0.36 ETH Des récompenses de bloc ont été envoyées à une adresse inattendue ; les estimations concernant 17 000 validateurs et 523 000 ETH restent à confirmer.
- Lido prévoit que les derniers validateurs concernés se retireront d'ici Octobre 7, le retrait complet et la réentrée pouvant prendre environ 45 jours.
MetaMask rencontre un problème de sécurité affectant une partie de l'infrastructure de son service de staking Ethereum. Par mesure de précaution, l'entreprise a commencé à déconnecter les validateurs concernés . Le fournisseur de portefeuilles précise que cette action est préventive. Selon sa mise à jour publique, aucun danger immédiat n'a été constaté pour les portefeuilles MetaMask classiques. Cette distinction est importante, car le problème réside dans les opérations de staking et non dans le logiciel de portefeuille utilisé par la plupart des utilisateurs pour stocker leurs tokens.
L'entreprise a initialement décrit la situation mercredi, indiquant qu'elle gérait une menace en cours en interne tout en faisant appel à des partenaires et conseillers externes en matière de sécurité. Elle n'a pas précisé le nom du système compromis, ni expliqué comment l'accès a été obtenu, ni donné le nombre exact de validateurs impliqués. Pour l'instant, le principal message aux utilisateurs est qu'il n'a été demandé à personne de déplacer des fonds ou de modifier ses paramètres . Ces consignes rassurantes sont utiles, mais elles soulèvent également de nombreuses questions techniques.
MetaMask affirme que les portefeuilles ne sont pas immédiatement menacés.
Dans sa mise à jour, MetaMask a présenté l'incident comme affectant une partie de son infrastructure, et non les portefeuilles gérés par les utilisateurs. L'entreprise a déclaré n'avoir identifié aucune menace immédiate pour les portefeuilles MetaMask, un point repris dans plusieurs articles. Parallèlement, elle a évité de conclure à la résolution définitive du problème. L'enquête est toujours en cours et de plus amples informations devraient être communiquées à mesure que l'entreprise progressera dans ses recherches.
Cette formulation laisse place à la nuance. Un incident de sécurité chez un fournisseur majeur de portefeuilles numériques peut paraître alarmant, mais le niveau de risque dépend des systèmes concernés. MetaMask a insisté sur le fait que ses opérations de staking sont non dépositaires et qu'elle ne gère pas les clés de retrait des ETH délégués par ses clients. En clair, l'entreprise peut exploiter les machines qui valident les transactions, tandis que les utilisateurs conservent un contrôle total sur le retrait de leurs cryptomonnaies mises en staking. Cette séparation est essentielle pour expliquer pourquoi l'entreprise affirme que les portefeuilles ne sont pas menacés dans l'immédiat.
Le manque de détails a néanmoins frustré ceux qui souhaitent une explication claire. MetaMask n'a pas précisé si le problème était lié à une vulnérabilité, à un accès non autorisé ou à un autre type de dysfonctionnement. L'entreprise n'a pas non plus confirmé le nombre de validateurs affectés ni si des données utilisateur ont été compromises . Pour les utilisateurs, le conseil pratique est simple : privilégier les canaux officiels, ignorer les messages urgents demandant des phrases de récupération et se méfier des rumeurs circulant sur les réseaux sociaux. Les tentatives d'hameçonnage font souvent suite à des actualités de sécurité avérées ; les alertes non sollicitées peuvent donc être tout aussi dangereuses que l' incident initial.
Les validateurs sortent par Lido par mesure de précaution
C’est du côté du staking que la réaction est la plus visible. Lido, un protocole de staking liquide compatible avec plusieurs opérateurs de nœuds, a indiqué que MetaMask Staking avait pris des mesures de précaution pour protéger les actifs de ses clients liés aux validateurs Ethereum qu’il exploite. Ces validateurs ont commencé à quitter le système de Lido mercredi. MetaMask Portfolio propose le staking via le staking mutualisé, le staking de validateurs et le staking liquide via Lido et Rocket Pool ; la sortie est donc spécifique aux opérations concernées et ne constitue pas un arrêt généralisé de toutes les méthodes de staking. Cette action vise les validateurs gérés par MetaMask, et non Ethereum dans son ensemble.
Lido a indiqué que les derniers validateurs concernés devraient avoir terminé leur retrait d'ici le 7 octobre, mais cela ne signifie pas que l'ETH sera de nouveau disponible immédiatement. Le cycle complet comprend le retrait, le retrait et la réintégration dans l'ensemble de staking. Ethereum ayant une file d'attente pour les nouveaux validateurs, ce processus peut prendre environ 45 jours. Will Shannon, développeur chez Lido Finance, a expliqué que l'ETH des validateurs utilisant MetaMask serait réintégré progressivement au protocole à mesure que chaque validateur terminerait le processus. Pendant cette période, les validateurs concernés cessent de verser les récompenses de staking habituelles.
Il existe également un risque de pénalité si les validateurs se déconnectent avant la fin de leur sortie. Cela ne signifie pas pour autant qu'une sanction sévère a eu lieu. Cette sanction, beaucoup plus lourde, est appliquée lorsque les validateurs enfreignent les règles de consensus, par exemple en signant des blocs contradictoires. Ni MetaMask ni Lido n'ont signalé de sanction sévère. Ils ont décrit une sortie préventive et une perte temporaire de revenus pendant l'indisponibilité des validateurs. Il est important de faire la distinction entre les récompenses perdues et le capital perdu.
Petit détournement de récompense, grandes estimations non confirmées
Un chercheur connu sous le pseudonyme de Kaden a précisé l'incident en analysant l'activité sur la blockchain. Selon cette analyse, 18 des 19 validateurs MetaMask ayant reçu des paiements pour la production de blocs ont envoyé ces récompenses à une adresse inattendue. Le montant estimé s'élevait à environ 0.36 ETH, une somme modique en valeur absolue comparée à l'importance de l'opération de staking. L'intérêt de cette découverte réside moins dans le montant en jeu que dans ce qu'elle suggère : une personne avait la possibilité de modifier un paramètre lié aux récompenses des validateurs. Ce type d'accès permet de détourner des revenus sans toucher au capital mis en jeu.
Cette distinction technique permet d'expliquer les dommages limités signalés jusqu'à présent. Ethereum permet aux opérateurs de définir une adresse de réception des frais de transaction et des récompenses de bloc, distincte des identifiants de retrait qui contrôlent les ETH mis en jeu. Si un attaquant modifie uniquement le destinataire des frais, il peut détourner les récompenses en cours. Il ne peut pas simplement déplacer la mise initiale. Un scénario plus grave impliquerait la modification des clés de signature, ce qui pourrait permettre à un acteur malveillant de forcer des attestations contradictoires et de déclencher une réduction drastique des récompenses. Aucun cas de ce type n'a été confirmé. Les preuves publiques disponibles à ce jour indiquent un détournement de récompenses, et non un vol de dépôts.
Kaden a également estimé que les sorties préventives concernaient environ 17 000 validateurs et près de 523 000 ETH. MetaMask n'a pas confirmé publiquement ces chiffres. Il est donc préférable de les considérer comme une estimation externe basée sur les données visibles du réseau, et non comme un chiffre officiel de l'entreprise. L'ampleur de l'opération reste néanmoins significative. Le site web de MetaMask indique que l'entreprise gère plus de 3 milliards de dollars d'ETH en staking via son infrastructure, ce qui en fait une plateforme majeure pour les utilisateurs souhaitant s'exposer au staking d'Ethereum. L'étendue exacte de la tranche affectée demeure incertaine tant que MetaMask n'aura pas fourni davantage d'informations.
Ce que cela signifie pour les utilisateurs et les détenteurs de stETH
Pour les détenteurs de stETH, le jeton représentant l'ETH mis en staking via Lido et ses récompenses accumulées, le message de Lido était clair : aucune action n'est requise. Le protocole répartit le staking entre de nombreux opérateurs ; ainsi, être exposé aux validateurs d'un opérateur ne revient pas à détenir une position directe chez cet opérateur. L'ETH lié aux validateurs concernés devrait être restitué progressivement au fur et à mesure du déroulement des procédures de sortie, de retrait et de réentrée. Les détenteurs de stETH ont été informés qu'ils n'ont aucune démarche à effectuer.
Pour les utilisateurs quotidiens du portefeuille MetaMask, la position de l'entreprise reste inchangée. Elle affirme n'avoir détecté aucune menace immédiate pour les portefeuilles et n'a pas demandé aux utilisateurs de déplacer leurs actifs. Cela ne rend pas l'incident anodin pour autant. Il souligne à quel point l'économie du staking d'Ethereum dépend d'une infrastructure opérationnelle qui échappe aux règles fondamentales de la blockchain. Un fournisseur peut conserver les clés de retrait hors de son contrôle et décider malgré tout de suspendre les validateurs lorsqu'il détecte une activité suspecte. La sécurité du staking ne se limite pas au protocole ; elle concerne également les machines et les identifiants utilisés pour son exécution.
Les prochaines étapes importantes sont la finalisation des sorties des validateurs autour du 7 octobre et la durée réelle du cycle de retrait et de réintégration. Si le processus reste dans les 45 jours estimés, le coût immédiat se limite principalement aux récompenses manquées et aux perturbations opérationnelles. Si de nouveaux éléments révèlent un accès plus important, cette évaluation pourrait évoluer. Pour l'instant, les données publiques font état d'une réaction prudente, d'un léger détournement de récompenses confirmé et d'une estimation importante, mais non confirmée, du nombre de validateurs quittant le système. À ce stade, aucune perte de portefeuilles utilisateurs ni de capital mis en jeu n'est confirmée.
Cet épisode nous rappelle que les grands services de staking peuvent réagir rapidement face à une infrastructure suspecte, même avant que la situation ne soit pleinement claire. MetaMask a choisi de se retirer des validateurs concernés et d'absorber l'indisponibilité du service plutôt que d'attendre des certitudes. Lido a tenu les détenteurs de stETH informés sans leur demander d'intervenir. Les conclusions d'un chercheur sur la blockchain ont fourni à ce jour les preuves les plus concrètes, tandis que les explications de MetaMask restent incomplètes. Les utilisateurs peuvent continuer à suivre les mises à jour officielles, mais les faits actuels ne justifient pas la panique. La principale distinction réside entre un problème de sécurité au sein de l'infrastructure de staking et la sécurité des portefeuilles MetaMask ordinaires.
