Um atacante levou cerca de 0.36 ETH — equivalente a menos de mil dólares — da operação de staking de Ethereum da MetaMask. A resposta? A MetaMask removeu da rede aproximadamente 17,000 validadores que detinham cerca de 523,000 ETH, avaliados em cerca de US$ 1.4 bilhão aos preços atuais. A proporção entre o dano causado e o dano evitado é, no mínimo, desproporcional.

O incidente começou em 30 de setembro de 2026, quando a MetaMask divulgou o que chamou de "um incidente de segurança em andamento que afeta parte de nossa infraestrutura". A empresa fez questão de ressaltar que não havia encontrado nenhuma ameaça imediata às carteiras MetaMask. O problema estava restrito à MetaMask Staking, o serviço de validação anteriormente conhecido como Consensys Staking, que opera validadores Ethereum para Lido, Coinbase e seu próprio produto de staking em pool.

O que foi roubado, de fato?

Sinceramente, não muito. De acordo com a análise on-chain feita pelo pesquisador de segurança 0xKaden e uma investigação detalhada da Bitquery , o atacante alterou o endereço do destinatário da taxa em cerca de 18 dos 19 validadores operados pela MetaMask que haviam recebido recompensas de bloco em 30 de setembro. Por aproximadamente quatro horas e meia, entre 12h12 e 16h46 UTC, as gorjetas de bloco — as taxas extras que os usuários pagam para que suas transações sejam incluídas em um bloco — foram redirecionadas para uma carteira financiada pelo Tornado Cash.

O total obtido: 0.36 ETH. Cerca de US$ 950. A carteira, que recebeu 0.1 ETH da Tornado Cash às 10h27 UTC daquela manhã, não havia se movimentado até o dia seguinte. Nenhum stake de validador foi retirado. Não houve penalização por perda de tokens. O atacante não conseguiu acessar o ETH em staking, pois as credenciais de saque são controladas pelos clientes, e não pela infraestrutura de staking da MetaMask.

Então, por que essa resposta massiva? Porque o atacante teve acesso às máquinas que assinam os blocos e definem os endereços de pagamento. Isso significa que as chaves de assinatura podem ter sido expostas. Uma chave de assinatura não pode ser rotacionada — a única solução é sair completamente do validador e começar do zero com uma nova chave. O MetaMask começou a desativar os validadores antes mesmo da primeira dica ser desviada, o que sugere que eles detectaram algo suspeito logo no início e decidiram que a opção mais drástica era a mais segura.

A reação em cadeia

As saídas afetaram duramente a fila de staking do Ethereum. A fila de saques saltou de cerca de 200,000 ETH para mais de 700,000 ETH em um único dia, aumentando o tempo de espera de três dias e meio para quase duas semanas. A Lido, cujo token stETH é lastreado por validadores operados pela MetaMask, informou aos detentores de stETH que o último validador afetado sairia até 7 de outubro. O ciclo completo — saída, saque, novo depósito com novas chaves e reingresso na fila de ativação — pode levar até 45 dias, período durante o qual esse ETH não rende nada.

Para os participantes do Lido, o verdadeiro custo não são os fundos roubados, mas sim o tempo perdido. Cerca de 0.19 ETH em gorjetas de 11 blocos definidos pelo Lido foram para o invasor em vez de para o cofre de recompensas do Lido. A reserva do Lido, de 6,750 stETH, teria coberto o pior cenário possível de penalização para seus próprios validadores. Mas se todos os validadores executados pelo MetaMask tivessem sido penalizados simultaneamente — o que não aconteceu —, cerca de 22,000 ETH teriam sido queimados, excedendo a reserva do Lido. O sistema escapou por pouco de um desastre muito maior.

Um cenário preocupante

Isso não está acontecendo isoladamente. Em julho, o Drop Site News noticiou que a Consensys — empresa controladora da MetaMask, antes de mudar de nome — havia contratado, sem saber, um desenvolvedor de software ligado à Coreia do Norte como consultor por cerca de um mês. Não há evidências que liguem esse incidente à violação de segurança ocorrida em 30 de setembro. Mas o financiamento da Tornado Cash, o roteamento pela KuCoin e o profissionalismo discreto do ataque são suficientes para deixar qualquer pessoa envolvida na infraestrutura de staking um pouco apreensiva.

Esta também não é a primeira vez que um provedor de staking precisa desativar validadores devido a uma suspeita de comprometimento. A Kiln, uma operadora concorrente, desativou todos os seus validadores ativos em setembro passado, após um prejuízo de US$ 41 milhões em suas operações de staking de SOL, rotacionando chaves de assinatura e tratando a infraestrutura relacionada como potencialmente comprometida. O padrão está se tornando familiar: uma pequena violação, uma grande resposta preventiva e muitas perguntas sobre como as chaves são armazenadas e quem pode acessá-las.

A MetaMask não explicou publicamente como o invasor conseguiu acesso, se as chaves de assinatura foram de fato comprometidas ou qual componente específico da infraestrutura foi alvo do ataque. A empresa afirmou estar trabalhando com parceiros de segurança externos e não forneceu mais detalhes. Para os milhares de participantes do staking cujos ETH agora estão em uma fila de saída, o silêncio não é nada tranquilizador.

A principal conclusão para quem faz staking de ETH por meio de um provedor é a seguinte: seu capital provavelmente está seguro se o provedor não controlar as chaves de saque. Mas suas recompensas, seu tempo de atividade e sua paciência ficam em risco quando algo dá errado. Um roubo de US$ 950 desencadeou um êxodo de validadores no valor de US$ 1.4 bilhão e um gargalo de duas semanas para saques. A matemática é absurda, mas a lógica é sólida. Em staking, uma chave de assinatura comprometida não é um problema pequeno — é motivo para descartar tudo e começar do zero.

---------------

Autor: Dorian Fenwick
Silicon Redação Vale
Quebrando Crypto News