MetaMask retire ses validateurs de Lido après qu'une personne a détourné des récompenses de bloc

MetaMask Staking retire ses validateurs Ethereum de Lido après que les récompenses de bloc provenant de son infrastructure ont été redirigées vers une adresse financée via Tornado Cash. Le montant effectivement transféré est minime: environ 0,36 ETH, soit moins de 1 000 dollars. Ce n’est toutefois pas le cas du montant retiré de Lido à titre de précaution. Un chercheur estime ce montant à environ 523 000 ETH, soit environ 1,4 milliard de dollars.

Je ne cesse de revenir sur ce rapport. Une fuite que l’on pourrait couvrir avec un mois de café, et une mise de 1,4 milliard de dollars est retirée du plus grand protocole de staking liquide sur Ethereum. Cela montre à quel point MetaMask ne veut pas prendre le risque de deviner ce que l’attaquant pourrait atteindre.

Ce qu’ont déclaré MetaMask et Lido

Le 30 septembre, MetaMask a publié un message sur X indiquant qu’il réagissait à un incident de sécurité affectant une partie de son infrastructure. L’entreprise a déclaré n’avoir constaté aucune menace immédiate pour les portefeuilles MetaMask et qu’elle se retirait des validateurs affectés au sein de ses opérations de staking sans garde. Une mise à jour destinée aux utilisateurs a suivi sur metamask.io.

Lido a confirmé ces retraits sur X et dans une communication publiée sur son forum de gouvernance, qualifiant la cause de « compromission de l’infrastructure » faisant l’objet d’une enquête. MetaMask Staking est l’ancien Consensys Staking, un opérateur de nœuds au sein de Lido. Les derniers validateurs concernés devaient avoir achevé leur retrait, sans toutefois se retirer complètement, d’ici la fin du 7 octobre.

La récupération des ETH est la partie la plus longue. Lido a indiqué que les participations retirées revenaient progressivement au protocole et que le cycle complet de sortie, de retrait et de réintégration pouvait prendre jusqu’à 45 jours en raison de la longue file d’attente d’entrée sur Ethereum. L’entreprise a également mis en garde contre la perte de récompenses et d’éventuelles pénalités liées aux temps d’indisponibilité pour les validateurs mis hors ligne avant la fin de leur processus de sortie.

Les deux entreprises ont souligné que MetaMask ne détient pas les clés de retrait des participations de ses clients. Lido a conseillé aux détenteurs de stETH de ne rien faire et a mis en avant son réseau d’opérateurs de nœuds ainsi qu’un fonds de réserve de plus de 6 750 stETH.

Ce que révèle la blockchain

Les seuls chiffres publics concernant le vol lui-même proviennent d’un chercheur indépendant. Kaden a déclaré sur X que 19 validateurs MetaMask avaient remporté des récompenses de bloc et que 18 de ces paiements avaient été versés à une adresse financée par Tornado au lieu du destinataire légitime des frais. Ni MetaMask ni Lido n’ont confirmé cette information.

Le destinataire des frais est ici déterminant. Il s’agit de l’adresse désignée par un validateur pour recevoir les frais prioritaires et le MEV issus des blocs qu’il propose. Pour que 18 des 19 paiements soient acheminés ailleurs, quelqu’un a dû être en mesure de modifier ce paramètre, ce qui pointe vers la configuration du validateur plutôt que vers un problème lié au portefeuille. Il s’agit là de mon interprétation, et non de celle de MetaMask. La société n’a pas précisé ce qui avait été compromis.

Il convient de garder à l’esprit les réserves émises par Kaden lui-même. Il a déclaré qu’il n’était pas clair si l’attaquant pouvait modifier les destinataires des frais pour l’ensemble des validateurs, et qu’il « n’avait probablement jamais eu la possibilité » de retirer les ETH mis en jeu. Mais selon la manière dont l’accès à la signature a été obtenu, a-t-il noté, les validateurs auraient en principe pu être délibérément sanctionnés. C’est probablement la véritable raison d’un exode d’une telle ampleur.

Les chiffres ne concordent pas parfaitement. L’estimation de Kaden s’élevait à environ 17 000 validateurs et 523 000 ETH, avec 821 validateurs potentiellement affectés qui n’avaient pas encore quitté le réseau. AMBCrypto, citant Kaden, a estimé le total à près de 513 000 ETH. Les données de la file d’attente des validateurs qu’il a examinées indiquaient qu’environ 10 500 validateurs et 336 000 ETH avaient quitté le réseau au cours de la même période, bien qu’il s’agisse d’un chiffre à l’échelle du marché et non pas uniquement de MetaMask. La file d’attente de sortie elle-même est passée d’environ 205 000 ETH à plus de 850 000 ETH en l’espace de deux jours, selon AMBCrypto.

Des répercussions, pour l’instant limitées

Stani Kulechov, fondateur d’Aave, a déclaré que le protocole de prêt surveillait la situation aux côtés de Lido et ne constatait aucun impact sur ses marchés, où le stETH est un actif de garantie largement utilisé. Guy Young, d’Ethena, a déclaré que les actifs adossant l’USDe n’avaient aucune exposition directe au stETH ni à aucun autre token de staking liquide. L’ETH lui-même est resté sous la barre des 2 800 dollars tout au long de cette agitation.

Linea, la couche 2 développée par Consensys, a indiqué le 2 octobre que les validateurs soutenant son coffre-fort « Yield Boost » étaient également en train d’être retirés, et que les fonds et le contrôle du coffre-fort n’étaient pas affectés.

Déclaration de Lubin: les portefeuilles sont en sécurité, aucun détail n’est disponible pour l’instant

Joseph Lubin, fondateur de Consensys, a écrit sur X le 2 octobre que, d’après l’enquête menée jusqu’à présent, rien n’indique que les portefeuilles MetaMask ou les fonds des clients qu’ils contiennent aient été affectés, et que les utilisateurs détiennent leurs propres clés. Concernant l’absence de détails, il s’est montré catégorique: « Nous ne discutons pas publiquement des détails d’un incident en cours. »

C’est tout à fait légitime en tant que politique de gestion des incidents. Cela laisse également le marché du staking exactement là où il en était, avec 523 000 ETH en jeu et aucune explication publique.

Ce n’est pas le premier opérateur Lido à prendre la fuite

Kiln a retiré tous ses validateurs Ethereum en septembre 2025 après que son PDG eut signalé une compromission potentielle de l’infrastructure. Consensys Staking, l’ancien nom de MetaMask Staking, avait déjà retiré par inadvertance 125 validateurs Lido en 2023 à la suite d’un malentendu, selon Crypto Briefing. Il s’agissait d’une erreur, et non d’une attaque, mais cela montre à quelle vitesse un seul opérateur peut déplacer un volume important de staking.

Un rapport daté du 6 octobre indique que les retraits sont presque terminés et que MetaMask Staking publiera une analyse rétrospective dans les semaines à venir. Je n’ai pas pu confirmer cette information auprès des canaux officiels de MetaMask; considérez donc cette information comme non vérifiée. En attendant la publication de ce rapport d’analyse, le seul chiffre concret dans cette affaire est 0,36 ETH, et la nature exacte de la faille reste une énigme.