Un atacante se llevó aproximadamente 0.36 ETH —con un valor inferior a mil dólares— de la plataforma de staking de Ethereum de MetaMask. ¿La respuesta? MetaMask retiró de la red a unos 17 000 validadores que poseían alrededor de 523 000 ETH, con un valor aproximado de 1400 millones de dólares al precio actual. La relación entre el daño causado y el daño evitado dista mucho de ser de 1:1.

El incidente comenzó el 30 de septiembre de 2026, cuando MetaMask reveló lo que denominó "un incidente de seguridad en curso que afectaba a parte de nuestra infraestructura". La compañía se apresuró a aclarar que no había encontrado ninguna amenaza inmediata para las carteras de MetaMask. El problema se limitaba a MetaMask Staking, el negocio de validación anteriormente conocido como ConsenSys Staking, que gestiona validadores de Ethereum para Lido, Coinbase y su propio producto de staking agrupado.

¿Qué fue lo que realmente robaron?

La respuesta honesta es que no mucho. Según un análisis en cadena realizado por el investigador de seguridad 0xKaden y una investigación detallada de Bitquery , el atacante cambió la dirección del destinatario de las comisiones en aproximadamente 18 de los 19 validadores operados por MetaMask que habían obtenido recompensas por bloques el 30 de septiembre. Durante aproximadamente cuatro horas y media, entre las 12:12 y las 16:46 UTC, las propinas por bloque (las comisiones adicionales que los usuarios pagan para que sus transacciones se incluyan en un bloque) se redirigieron a una billetera financiada a través de Tornado Cash.

El botín total: 0.36 ETH. Aproximadamente 950 dólares. La billetera, que recibió 0.1 ETH de Tornado Cash a las 10:27 UTC de esa mañana, no se movió al día siguiente. No se tomó ninguna participación de validador. No hubo recortes. El atacante no pudo acceder al ETH apostado, ya que las credenciales de retiro están controladas por los clientes, no por la infraestructura de staking de MetaMask.

¿A qué se debe esta respuesta masiva? Porque el atacante tenía acceso a las máquinas que firman los bloques y establecen las direcciones de pago. Esto significa que las claves de firma podrían haber quedado expuestas. Una clave de firma no se puede rotar; la única solución es abandonar el validador por completo y empezar de cero con una clave nueva. MetaMask comenzó a retirar validadores incluso antes de que se desviara el primer aviso, lo que sugiere que detectaron algo sospechoso con antelación y decidieron que la opción más drástica era la más segura.

La reacción en cadena

Las salidas afectaron gravemente la cola de staking de Ethereum. La cola de retiros pasó de aproximadamente 200 000 ETH a más de 700 000 ETH en un solo día, lo que elevó los tiempos de espera de tres días y medio a casi dos semanas. Lido, cuyo token stETH está respaldado por validadores operados por MetaMask, informó a los poseedores de stETH que el último validador afectado se retiraría antes del 7 de octubre. El ciclo completo (salida, retiro, nuevo depósito con claves nuevas y reingreso a la cola de activación) podría tardar hasta 45 días, durante los cuales ese ETH no generaría ningún rendimiento.

Para los participantes de Lido, el verdadero costo no son los fondos robados, sino el tiempo perdido. Aproximadamente 0.19 ETH en propinas de 11 bloques establecidos por Lido fueron a parar al intruso en lugar de a la bóveda de recompensas de Lido. La reserva de Lido de 6,750 stETH habría cubierto el peor escenario posible de recortes para sus propios validadores. Pero si todos los validadores gestionados por MetaMask hubieran sido recortados simultáneamente —lo cual no sucedió—, se habrían quemado aproximadamente 22 000 ETH, superando la reserva de Lido. El sistema se salvó de un desastre mucho mayor.

Un trasfondo preocupante

Esto no ocurre de forma aislada. En julio, Drop Site News informó que ConsenSys, la empresa matriz de MetaMask antes de su cambio de nombre, había contratado sin saberlo a un desarrollador de software vinculado a Corea del Norte como consultor durante aproximadamente un mes. No hay pruebas que conecten este incidente con la brecha de seguridad del 30 de septiembre. Sin embargo, la financiación de Tornado Cash, el enrutamiento de KuCoin y la discreta profesionalidad del ataque son suficientes para generar cierta inquietud en cualquier persona involucrada en la infraestructura de staking.

Tampoco es la primera vez que un proveedor de staking se ve obligado a retirar validadores ante una posible vulnerabilidad. Kiln, un operador de la competencia, retiró a todos sus validadores activos en septiembre pasado tras una pérdida de 41 millones de dólares en sus operaciones de staking de SOL, rotando las claves de firma y tratando la infraestructura relacionada como potencialmente comprometida. El patrón se está volviendo familiar: una pequeña brecha, una respuesta preventiva contundente y muchas preguntas sobre cómo se almacenan las claves y quién puede acceder a ellas.

MetaMask no ha explicado públicamente cómo el atacante logró acceder a su plataforma, si las claves de firma se vieron comprometidas o qué componente específico de la infraestructura fue el objetivo. La compañía afirmó estar colaborando con socios de seguridad externos y no ha proporcionado más detalles. Para los miles de inversores que ahora tienen su ETH en espera de ser retirado, este silencio no resulta precisamente tranquilizador.

La conclusión para quienes hacen staking de ETH a través de un proveedor es la siguiente: su capital probablemente esté seguro si el proveedor no controla las claves de retiro. Sin embargo, sus recompensas, su tiempo de actividad y su paciencia corren peligro si algo sale mal. Un robo de 950 dólares provocó una fuga masiva de validadores por valor de 1.4 millones de dólares y un cuello de botella de dos semanas en los retiros. Las cifras son absurdas, pero la lógica es sólida. En el staking, una clave de firma comprometida no es un problema menor; es motivo suficiente para quemarlo todo y empezar de cero.

---------------

Escrito por Dorian Fenwick
SilicoSala de prensa de n Valley
Rompiendo Noticias Crypto