MetaMask poistaa Ethereum-validaattoreita verkosta tietoturvatapauksen jälkeen
MetaMask on vetänyt tietoturvatapauksen jälkeen pois verkosta osan sen staking-toiminnan Ethereum–validaattoreista. Yhtiön mukaan asiakkaiden varat eivät ole vaarassa, mutta tapaus pysäyttää palkkioiden kertymisen ja koskee suoraan stakereita: paluu stakingiin voi Lidon mukaan kestää jopa noin 45 päivää.
Poikkeama havaittiin staking-infrastruktuurissa
MetaMask tiedotti 30.9.2026 vastaavansa käynnissä olevaan tietoturvapoikkeamaan, joka koskee osaa yhtiön infrastruktuurista. Poikkeama kohdistuu MetaMask Stakingiin, entiseen Consensys Stakingiin, joka ylläpitää asiakkailleen ja nesteytetylle staking-protokolla Lidolle validaattoreita eli verkon siirtoja vahvistavia ja lohkoja tuottavia tietokoneita.
Ennalta varotoimena MetaMask on poistanut vaikutuksenalaiset validaattorit verkosta yhteistyössä asiakkaiden ja kumppaneiden kanssa. Yhtiön mukaan MetaMaskin lompakoille ei ole havaittu välitöntä uhkaa, eikä se ole kertonut poikkeaman teknisiä yksityiskohtia. Consensys Software Inc. kertoi syyskuussa jatkavansa kuluttajaliiketoimintansa MetaMask-nimellä ja erottavansa protokollainsa uudeksi Consensys-yhtiöksi vuoden loppuun mennessä.
Tutkija: palkkiot ohjautuivat vieraalle osoitteelle
Ethereumin tietoturvatutkija Kaden kertoi X-palvelussa, että 18 MetaMaskin 19 lohkoa tuottaneesta validaattorista ohjasi palkkionsa odottamattomaan osoitteeseen. Hänen arvionsa mukaan vieraalle osoitteelle ohjautui noin 0,36 ETH:n edestä tuottoa. Sama tutkija arvioi pois vedettävien validaattoreiden määräksi noin 17 000, joihin oli sidottuna noin 523 000 ETH:ää. MetaMask ei ole vahvistanut lukemia.
Lohkoa tuottaessaan validaattori saa siirtokuluja palkkioksi. Ne voidaan ohjata toiseen osoitteeseen kuin itse panos, joten palkkiotulojen ohjaaminen ei muuta sitä, minne varsinainen panos voidaan myöhemmin nostaa. Tutkijan havainto siis koskee tuottoa, ei asiakkaiden varsinaista pääomaa.
Noston avaimet pysyvät asiakkaiden hallussa
MetaMask korostaa, että staking-toiminta on ei-hoitovastuullista: yhtiö ei hallitse asiakkaidensa panosten nostoavaimia. Validaattorin työtehtäviin tarvittavat allekirjoitusavaimet ja varojen nostoon tarvittavat avaimet ovat erilliset, ja jälkimmäiset määräävät, minne varat voidaan siirtää.
Tämän takia ylläpidon ulkopuolinen taho ei voi siirtää asiakkaiden varoja, vaikka pääsisi käsiksi allekirjoitusavaimiin. Pahimmillaan väärinkäyttö voi laukaista verkon rangaistuksen eli leikkausrangaistuksen, jossa verkko tuhoaa osan panoksesta ja poistaa validaattorin. Kummastakaan yhtiöstä ei ole raportoitu sellaista tapahtuneen, eikä varastettuja panoksia tai luvattomia nostoja ole vahvistettu.
Lido: staking-paluu voi kestää noin 45 päivää
Lidon mukaan viimeisetkin vaikutuksenalaiset validaattorit poistuvat aktiivisesta joukosta 7.10.2026 mennessä, vaikka niiden ETH ei välttämättä ole vielä silloin nostettu. Koko kierros eli poistuminen, nosto ja uudelleenpääsy kestää Ethereumin pitkän sisäänpääsyjonon vuoksi jopa noin 45 päivää.
Sillä välin panostajilta jää palkkioita kertymättä, ja jos validaattorit sammutetaan ennen poistumisen valmistumista, niistä voi tulla myös toimintakatkorangaistuksia. Lidon mukaan stETH-omistajien ei tarvitse tehdä mitään: protokolla pyrkii imemään häiriön sisään yli 6 750 stETH:n vararahastollaan ja laajalla, yli kuudensadan operaattorin joukollaan.
Tutkimus on yhä kesken
MetaMask ei ole kertonut hyökkäystapaa, sitä kuinka laajalle poikkeama levisi eikä sitä, pääsikö joku käsiksi validaattoreiden allekirjoitusavaimiin. Yhtiö kertoo työskentelevänsä ulkoisten kumppaneiden ja tietoturvaneuvojien kanssa ja julkaisevansa lisätietoja tutkimuksen edetessä. Myös Lidon mukaan täysi tutkinta on käynnissä.
Hajautetun rahoituksen eli DeFi:n lainapalvelu Aave raportoi markkinoidensa toimivan normaalisti, ja sen perustaja Stani Kulechov kertoi seuraavansa tilannetta. Kytkös on olennainen, koska stETH ja muut staking-omaisuudet ovat laajassa käytössä lainamarkkinoilla.
Lähteet
- MetaMask – User update – 30.9.2026 – https://metamask.io/news/user-update
- Lido – [Security Disclosure] MetaMask Staking Precautionary Out of Order Exits – 1.10.2026, klo 2.40 (Europe/Helsinki) – https://research.lido.fi/t/security-disclosure-metamask-staking-precautionary-out-of-order-exits/11961
- The Hacker News – MetaMask Security Incident Prompts Exit of Affected Ethereum Validators – 1.10.2026, klo 8.18 (Europe/Helsinki) – https://thehackernews.com/2026/10/metamask-security-incident-prompts-exit.html
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: jutun lopussa on kumppanimainoksia ja mainoslinkkejä. Kryptouutiset.net voi saada provision, jos rekisteröidyt palveluun kutsukoodin tai linkin kautta. Tämä kaupallinen yhteistyö ei vaikuta uutisten sisältöön tai toimituksellisiin johtopäätöksiin.
