MetaMask memperbarui laporan insiden infrastrukturnya pada Kamis, 5 November 2026. Penyerang, kata perusahaan, mengakses sistem yang menyimpan alamat penerima dan mengalihkan sebagian hadiah staking lapisan eksekusi. Jumlahnya sekitar 0,385 ETH. MetaMask mengaku sudah menemukan dan memperbaiki masalah itu pada hari yang sama.
Kronologi singkat
Insiden ini pertama kali diumumkan pada 30 September. MetaMask saat itu menarik validator di layanan staking non-kustodialnya sebagai langkah berjaga-jaga. Bitquery, yang dikutip eSecurity Planet, menghitung 16.965 validator MetaMask Staking dengan sekitar 565.056 ETH sudah keluar atau masuk antrean keluar. Lido, yang memakai MetaMask Staking untuk menjalankan sebagian validatornya, juga menarik validator itu dan memperingatkan soal hilangnya hadiah serta kemungkinan penalti downtime.
Perkiraan awal Bitquery menyebut sekitar 0,36 ETH dialihkan dari 18 blok. Angka resmi MetaMask pada pembaruan terakhir sedikit lebih tinggi, yaitu 0,385 ETH.
Apa yang MetaMask klaim aman
Menurut BleepingComputer, MetaMask tidak menemukan bukti bahwa dana pokok yang di-stake atau kunci penarikan terdampak. Frasa pemulihan dan kunci privat pengguna juga disebut tidak bocor. Hadiah yang dialihkan terpisah dari ETH milik pelanggan.
Sebagian pelanggan sempat mengalami penarikan yang tertunda karena validator ditarik, dan sebagian mungkin kehilangan hadiah staking selama jeda itu. MetaMask mengatakan sedang bekerja dengan pelanggan terdampak untuk mengembalikan hadiah yang hilang.
Yang belum jelas
Perusahaan belum membuka sistem mana yang diserang dan bagaimana penyerang masuk. Tanggal laporan teknis yang lebih lengkap juga belum ditentukan. Penyerangnya tidak disebut dalam laporan yang kami baca.
Pengguna dompet MetaMask biasa tidak perlu melakukan apa pun, menurut perusahaan. Pelanggan yang memakai staking lewat MetaMask atau penyedia seperti Lido sebaiknya mengikuti panduan dari penyedia masing-masing dan memeriksa apakah hadiah stakingnya sudah dikembalikan.
Sumber: BleepingComputer, eSecurity Planet. Gambar: BleepingComputer.