Skip to content
Blockchain Posts

infrastructure

MetaMask Staking sort ses validateurs Ethereum de Lido après un incident d'infrastructure

MetaMask annonce le 30 septembre un incident d'infrastructure et sort ses validateurs ETH de Lido d'ici au 7 octobre, retour en ~45 jours. Les vaults Morpho de Sentora perdent 136 M$.

par 5 min de lecture
infrastructureexploitethereummetamasklido

MetaMask annonce le 30 septembre 2026 un incident de sécurité « sur une partie de notre infrastructure » et déclenche en précaution la sortie de l'intégralité de ses validateurs ETH opérés dans le set de Lido. Le post officiel de divulgation sur le forum Lido, publié à 23 h 40 UTC, confirme que l'ancien opérateur « Consensys Staking » — rebaptisé MetaMask Staking depuis — part en sortie hors tour avec une finalisation attendue d'ici la fin du 7 octobre 2026, puis une rentrée complète en file d'attente de staking de l'ordre de 45 jours. Dans les heures qui ont suivi, les vaults Morpho curés par Sentora sur Ethereum ont perdu plus de 136 M$ de dépôts combinés PYUSD et RLUSD — non pas parce qu'un contrat Morpho ou Sentora a été touché, mais parce que les déposants ont bougé avant d'attendre une clarification.

Ce qui s'est passé

Le communiqué MetaMask est court et prudent : un « incident de sécurité en cours affectant une partie de notre infrastructure », « pas de menace immédiate sur les wallets MetaMask », et une « sortie proactive des validateurs affectés » dans son activité de staking non-custodial. MetaMask ne décrit ni la nature du vecteur, ni les systèmes compromis, ni l'exposition éventuelle de données clients. L'entreprise rappelle que MetaMask Staking est non-custodial : les clés de retrait des validateurs ne sont pas sous son contrôle, et la sortie passe donc par la file de retrait normale du consensus Ethereum, pas par une rotation de clés.

La divulgation côté Lido, publiée par l'admin KimonSh sur le forum de recherche, confirme l'opérateur (MetaMask Staking, ex-Consensys Staking) et qualifie la manœuvre de « precautionary out of order exits » : les validateurs partent en file de retrait prioritairement plutôt qu'en rotation étalée. La fin des sorties est estimée au 7 octobre 2026, puis l'ETH retourne dans la file d'entrée Lido — soit un cycle complet d'environ 45 jours à profondeur de queue actuelle.

Ni MetaMask ni Lido n'ont publié le nombre de validateurs concerné ni le montant d'ETH qui sort. Cointelegraph cite un ordre de grandeur agrégé de « plus de 3 Md$ de staking géré par MetaMask » toutes activités confondues ; ce n'est pas le volume de ce retrait précis.

L'effet Morpho — Sentora

L'autre lecture on-chain tient à Sentora, le deuxième plus gros curateur de Morpho Vaults V2 par TVL (plus de 1,1 Md$ sous gestion fin septembre 2026, derrière Steakhouse Financial). Dans les quatre heures suivant la divulgation, The Defiant relève des sorties nettes sur les deux plus gros vaults de la maison :

  • Vault RLUSD Main : ~426,4 M$ → ~350,4 M$ en environ 4 heures.
  • Vault PYUSD Main : ~408,9 M$ → ~349,3 M$ sur la même fenêtre.
  • Liquidité immédiatement disponible au moment de la mesure : 8,46 M$ côté RLUSD, 2,38 M$ côté PYUSD.

Aucune source ne décrit à ce stade de lien technique entre les vaults et la compromission MetaMask. Le lien est opérationnel : équipes qui se croisent, surface de staking commune, et un signal de divulgation (« une partie de notre infrastructure ») assez vague pour pousser les déposants à dérisquer en attendant que MetaMask précise ce qui a été touché.

Chiffres

- Date de divulgation         : MetaMask, 2026-09-30
- Post forum Lido             : 2026-09-30, 23 h 40 UTC
- Opérateur concerné          : MetaMask Staking (ex-Consensys Staking)
- Fin des sorties (prévue)    : 2026-10-07, fin de journée
- Cycle retour ETH            : ~45 jours (file de retrait + file d'entrée)
- Nombre de validateurs       : non divulgué
- Montant d'ETH concerné      : non divulgué
- Sentora Morpho Vaults V2    : > 1,1 Md$ (pré-incident, toutes vaults)
- Vault RLUSD                 : 426,4 M$ → 350,4 M$ (~4 h)
- Vault PYUSD                 : 408,9 M$ → 349,3 M$ (même fenêtre)
- Liquidité dispo             : 8,46 M$ (RLUSD), 2,38 M$ (PYUSD)

Ce qu'il faut surveiller

  1. La qualification de l'incident par MetaMask. La communication actuelle ne nomme ni le composant touché (credentials d'infrastructure ? dépôt source ? pipeline de build ? service annexe ?), ni la nature des données potentiellement exposées. Ce que MetaMask publie ensuite déterminera le rayon de souffle réel pour les utilisateurs d'extensions, l'intégration des hardware wallets, et les auteurs de Snaps.
  2. La parité stETH / ETH. Aucune source ne signale de décrochage pour l'instant, mais la sortie massive d'un opérateur du set Lido est précisément le stress-test du marché secondaire de stETH. À surveiller : la pool Curve stETH/ETH et le ratio de réserve Lido sur les 45 prochains jours.
  3. Pénalités d'inactivité et récompenses manquées. Le post Lido les cite comme coûts possibles de la sortie hors tour, en partie compensés par les SLA opérateur. Le post-mortem définitif devra chiffrer le total réalisé.
  4. Retour de liquidité chez Sentora. Si la communication MetaMask isole proprement la surface « staking » du reste de son infrastructure, les flux PYUSD/RLUSD devraient revenir rapidement ; sinon, Sentora devra publier sa propre note d'isolation opérationnelle.

Contexte — déjà la deuxième sortie précautionnelle de cet opérateur

Le forum Lido garde la trace d'un épisode « Kiln precautionary out of order exits » en 2024, et d'un incident plus ancien de juillet 2023 où Consensys/Kiln avait fait sortir 125 validateurs par erreur. Les deux précèdent le rebranding en MetaMask Staking du même opérateur. Le schéma — un opérateur fait sortir un gros paquet de validateurs après un signal d'infrastructure, le protocole absorbe le coût — est désormais un cas documenté, et dans les deux cas précédents, le cadre d'opérateurs Lido l'a géré sans stresser stETH. Reste à voir si c'est encore vrai à cette échelle et à profondeur de file d'entrée actuelle.

Sources

Articles liés