MetaMask admite robo de ether: el atacante no tuvo que vulnerar las carteras

Las carteras criptográficas sobrevivieron, pero el dinero sí llegó a manos del atacante. MetaMask confirmó que, tras la intrusión en la infraestructura de MetaMask Staking, el atacante redirigió aproximadamente 0,385 ETH de las recompensas de los validadores de Ethereum. Los fondos principales de los clientes, según la compañía, permanecieron intactos. El robo afectó los pagos por la creación de bloques, no los depósitos de los usuarios.

El acceso no autorizado a parte de la infraestructura se detectó el 28 de septiembre de 2026, y el 30 de septiembre la compañía informó públicamente sobre el ataque. Las primeras declaraciones no indicaban pérdidas de los fondos de los clientes. A principios de octubre el incidente se consideró principalmente como una amenaza al funcionamiento de los validadores. MetaMask reveló el volumen de las recompensas sustraídas solo el 5 de noviembre, más de un mes después del comunicado inicial.

El atacante obtuvo acceso al sistema donde se almacenaban de forma centralizada las direcciones de los destinatarios de las recompensas y sustituyó temporalmente parte de los registros. Cuando los validadores creaban nuevos bloques, las comisiones correspondientes se dirigían a una cartera ajena. MetaMask afirma que detectó y solucionó la suplantación ese mismo día, pero aún no revela el método de la intrusión inicial.

En un validador de Ethereum, la dirección para recibir comisiones y las credenciales para retirar las monedas en staking son independientes. La sustitución de la primera permite apropiarse de los ingresos por la creación de bloques, pero no abre acceso al depósito principal. Según MetaMask, las claves de retiro de ETH están fuera del control del operador, y las claves privadas de los usuarios y las frases de recuperación no resultaron afectadas.

Un análisis independiente de Bitquery detectó una transferencia de aproximadamente 0,36 ETH procedente de 18 bloques creados a una dirección ajena. Según los cálculos de la compañía, al 1 de octubre MetaMask Staking había retirado o puesto en cola para salida a 16 965 validadores, que acumulaban 565 056 ETH. MetaMask no confirmó el número de nodos, y la cifra indicada describe el volumen del staking, no el monto sustraído.

Para limitar los riesgos, MetaMask Staking empezó a sacar de la red a los validadores afectados. El 5 de noviembre la compañía confirmó la finalización de la salida de todos los nodos afectados. Para algunos clientes la medida implicó demoras en el retiro de ETH, y durante la salida y la reconexión podrían haberse dejado de recibir recompensas adicionales. La salida de un validador de la red no implica el retorno inmediato del depósito.

Las repercusiones también afectaron a Lido, que utilizó a MetaMask Staking como operador de validadores. El protocolo estimó que el ciclo completo de salida, retorno y reconexión podría durar hasta 45 días. El 23 de octubre Lido impuso al operador un límite cero para la asignación de nuevos depósitos en dos módulos de staking. No se divulgaron indicios de que Lido en sí mismo hubiese sido comprometido. No se requieren acciones por parte de los propietarios de stETH.

MetaMask declara que el acceso no autorizado ha cesado y que los sistemas afectados están protegidos. No obstante, la compañía aún no ha divulgado el método inicial del ataque ni el número exacto de clientes que se vieron afectados. Los propietarios habituales de carteras no necesitan tomar ninguna medida. A los clientes de staking se les recomienda seguir las indicaciones de su proveedor y no entregar a nadie sus claves privadas ni sus frases de recuperación.