Crypto : MetaMask retire ses validateurs après un incident de sécurité

MetaMask isole ses validateurs Ethereum

MetaMask a révélé le 30 septembre qu’un incident de sécurité affectait une partie de son infrastructure. L’affaire intervient alors que les attaques et compromissions crypto ont déjà atteint des niveaux records en 2026.

La société travaille avec des partenaires externes et des spécialistes en cybersécurité pour identifier et corriger le problème. Sa première décision visible consiste à sortir les validateurs concernés de ses opérations de staking non custodial.

MetaMask n’a pas communiqué le nombre officiel de validateurs concernés.

Kaden, chercheur spécialisé dans la sécurité d’Ethereum cité par CoinDesk, estime cependant qu’environ 17 000 validateurs détenant 523 000 ETH seraient en cours de retrait. Son analyse affirme également que 18 des 19 validateurs MetaMask ayant récemment produit des blocs ont envoyé leurs paiements vers une adresse inattendue. Environ 0,36 ETH aurait ainsi été détourné.

Ces observations donnent un premier indice sur la nature de l’incident, sans permettre encore d’en déterminer la cause.

MetaMask n’a confirmé ni un vol de clés de validateurs, ni une compromission de ses systèmes cloud, ni l’intervention d’un attaquant externe.

Les wallets MetaMask ne sont pas concernés à ce stade

La distinction est importante.

Un validateur Ethereum utilise des clés opérationnelles pour proposer et attester des blocs. Les clés permettant finalement de retirer les ETH stakés sont différentes. MetaMask affirme que son activité de staking est non custodial et qu’elle ne détient pas les withdrawal keys de ses clients.

Dit autrement, compromettre l’infrastructure qui fait fonctionner un validateur ne signifie pas automatiquement pouvoir retirer les 32 ETH qui lui sont associés.

C’est aussi pourquoi MetaMask peut arrêter ou sortir préventivement les validateurs tout en déclarant qu’aucune menace immédiate n’a été identifiée pour les wallets classiques de ses utilisateurs.

L’infrastructure de staking est elle-même répartie sur plusieurs technologies. MetaMask utilise Teku et Lighthouse pour la couche consensus, Geth et Besu pour la couche d’exécution, avec des serveurs distribués entre AWS et Azure dans plusieurs régions géographiques.

Cette architecture limite les points de défaillance uniques, sans rendre une compromission impossible.

L’incident rappelle surtout qu’un wallet self-custodial et une infrastructure de staking ne présentent pas exactement la même surface d’attaque. Les malwares visant directement les wallets crypto cherchent généralement les seed phrases, sessions ou clés privées. Ici, les éléments disponibles orientent plutôt vers l’environnement utilisé pour opérer les validateurs.

Pour l’instant, MetaMask ne demande donc pas à ses utilisateurs ordinaires de déplacer leurs fonds ou de changer de wallet.

Lido pourrait perdre temporairement des récompenses

Les conséquences les plus concrètes apparaissent du côté du staking.

MetaMask Staking exploite notamment des validateurs pour Lido. Le protocole a confirmé le début de leur retrait et estime que les derniers validateurs concernés pourraient quitter le réseau d’ici le 7 octobre.

Sortir plusieurs milliers de validateurs Ethereum ne se fait pas instantanément. Le protocole utilise des files d’attente afin d’éviter que de grandes quantités d’ETH entrent ou sortent brutalement du système de validation.

Une fois les validateurs retirés, les ETH devront éventuellement être réalloués puis replacés dans la file d’activation. Lido estime que l’ensemble du processus pourrait prendre jusqu’à environ 45 jours. Pendant cette période, certains ETH peuvent ne plus produire de rendement et des pénalités liées à l’inactivité restent possibles.

Les détenteurs de stETH n’ont toutefois aucune action particulière à effectuer selon Lido.

L’impact financier reste également très différent d’un vol massif de fonds. Les premières observations évoquent seulement 0,36 ETH de récompenses potentiellement détournées. Ce chiffre pourrait évoluer à mesure que l’analyse avance.

L’affaire mérite néanmoins d’être suivie de près. Les infrastructures crypto sont devenues elles-mêmes des cibles centrales pour les attaquants, et le retrait préventif d’environ un demi-million d’ETH de validateurs, si l’estimation indépendante est confirmée, n’est pas une opération anodine.

Pour MetaMask, la prochaine information décisive sera donc le post-mortem : quelle partie de l’infrastructure a été atteinte, quelles clés ou permissions étaient accessibles et comment les récompenses observées ont-elles pu être redirigées ?

À ce stade, une chose peut déjà être séparée du bruit : MetaMask fait bien face à un incident de sécurité sérieux dans son infrastructure de staking, mais aucune compromission des wallets utilisateurs ou des clés de retrait n’a été établie.