¿Qué ocurrió?
MetaMask, una de las carteras de Ethereum más extendidas, anunció un incidente de seguridad que afectó a una parte de su infraestructura. Como medida preventiva, el servicio MetaMask Staking comenzó a retirar (exitear) validadores de Ethereum vinculados al protocolo Lido. Según diversas fuentes, esto elevó el número de retiros de validadores en la red al nivel más alto en nueve meses.
Un validador es un participante de la red Ethereum que, tras depositar 32 ETH, verifica transacciones y propone bloques, por lo que recibe recompensas. Lido es el mayor protocolo de staking líquido en Ethereum, a través del cual se puede hacer staking de ETH sin operar un nodo propio. La retirada de una gran cantidad de validadores a la vez entra en la llamada cola de salida (exit queue), que limita cuántos validadores pueden abandonar la red en un tiempo determinado.
¿Cómo se produjo el incidente?
Según el sitio BitHub.pl, el equipo de MetaMask, al revisar el funcionamiento de sus sistemas, detectó inconsistencias en el flujo de las comisiones de transacción generadas por los validadores.
Un investigador de seguridad on-chain que opera bajo el nombre de Kaden, según CryptoSlate, indicó que el análisis mostró un desvío de las recompensas de las comisiones de transacción. De los 19 validadores que propusieron un bloque, en 18 se habrían desviado las recompensas a una dirección financiada a través de Tornado Cash. Tornado Cash es un protocolo de privacidad en Ethereum que mezcla y anonimiza transacciones.
Un detalle importante: según la misma fuente, el atacante realmente interceptó solo una parte muy pequeña de los fondos (del orden de una fracción de ETH). El alcance del daño real parece, por tanto, desproporcionadamente menor que el volumen de ETH que MetaMask está retirando de forma preventiva.
¿Cuánto ETH se está moviendo?
| Dato | Valor | Fuente |
|---|---|---|
| Validadores exiteados preventivamente | aprox. 17.000 | Kaden (vía CryptoSlate) |
| Volumen de ETH | aprox. 523.000 ETH | Kaden (vía CryptoSlate) |
| Validadores que proponen bloque con comisiones desviadas | 18 de 19 | Kaden (vía CryptoSlate) |
| Tiempo de salida, pago y reingreso | hasta 45 días | MetaMask (vía Decrypt, Incrypted) |
Las cifras sobre el número de validadores y el volumen de ETH provienen del análisis de un investigador independiente, no directamente de una declaración oficial de MetaMask. Tómelas, por tanto, como probables y no confirmadas por la empresa.
¿Están amenazadas las carteras de los usuarios?
MetaMask, según los sitios Decrypt e Incrypted, indicó que no detectó una amenaza directa para las carteras de los usuarios. La empresa también comunicó que está resolviendo el problema en colaboración con socios externos y expertos en ciberseguridad.
El principal impacto práctico para los stakers es, por tanto, temporal y no necesariamente de pérdida: el ETH retirado de Lido, según MetaMask, puede tardar en volver hasta 45 días, ya que todo el ciclo incluye la salida del validador, el pago y un eventual reingreso. Además, los retiros masivos alargan la cola de salida para todos los demás stakers de la red, no solo para los clientes de MetaMask.
¿Qué no está claro todavía?
La información disponible públicamente no responde a varias preguntas clave. No está confirmado cómo exactamente penetró el atacante en la infraestructura, si se trató de un compromiso de claves, de software o de un servicio externo. Tampoco está confirmada oficialmente la cuantía exacta de los fondos sustraídos, más allá de que parece baja. Y MetaMask todavía no ha documentado públicamente la cifra exacta de validadores retirados que indica el investigador independiente.
Qué observar en incidentes similares
En este tipo de eventos conviene seguir tres cosas: el post-mortem oficial de MetaMask (qué falló exactamente), la longitud de la cola de salida de validadores en Ethereum (cuánto ralentizará la salida masiva los retiros para todos) y si se confirman o se ajustan las cifras indicadas por el investigador independiente. charliedesk seguirá estos datos y los comparará con lo que finalmente anuncie oficialmente MetaMask.