攻撃者はMetaMaskのイーサリアムステーキング事業から、およそ0.36ETH（1000ドル未満相当）を持ち去った。これに対しMetaMaskは、約52万3000ETH（現在の価格で約1.4億ドル相当）を保有する約1万7000人のバリデーターをネットワークから引き抜いた。被害額と被害回避額の比率は、控えめに言っても1対1ではない。

この事件は2026年9月30日に発生し、MetaMaskは「当社のインフラストラクチャの一部に影響を与える進行中のセキュリティインシデント」を公表した。同社は、 MetaMaskウォレットへの差し迫った脅威は確認されていないとすぐに強調した。この問題は、以前はConsenSys Stakingとして知られていたバリデーター事業であるMetaMask Stakingに限定されており、同社はLido、Coinbase、および自社のプール型ステーキング製品向けにイーサリアムバリデーターを運営している。

実際に盗まれたもの

正直なところ、大した影響はなかった。セキュリティ研究者0xKadenによるオンチェーン分析とBitqueryによる詳細な調査によると、攻撃者は9月30日にブロック報酬を獲得したMetaMaskが運営する19のバリデーターのうち約18の手数料受取人アドレスを変更した。UTCの12:12から16:46までの約4時間半の間、ブロックチップ（トランザクションをブロックに含めるためにユーザーが支払う追加手数料）は、Tornado Cashで資金提供されたウォレットにリダイレクトされた。

盗まれた総額は0.36 ETH、約950ドル。その日の午前10時27分（UTC）にTornado Cashから0.1 ETHを受け取ったウォレットは、翌日になっても動きがなかった。バリデーターのステーキングは行われず、スラッシングも発生しなかった。出金認証情報はMetaMaskのステーキングインフラストラクチャではなくクライアントによって管理されているため、攻撃者はステーキングされたETH自体にアクセスできなかった。

では、なぜこれほど大規模な対応が必要だったのでしょうか？それは、攻撃者がブロックに署名し、手数料アドレスを設定するマシンにアクセスできたからです。つまり、署名キーが漏洩した可能性があるということです。署名キーはローテーションできないため、唯一の解決策はバリデーターを完全に停止し、新しいキーで最初からやり直すことです。MetaMaskは最初の情報が漏洩する前からバリデーターの停止を開始しており、これは彼らが早い段階で不審な点に気づき、最終手段が安全策だと判断したことを示唆しています。

連鎖反応

撤退により、イーサリアムのステーキング待ち行列は大きな打撃を受けた。出金待ち行列は1日で約20万ETHから70万ETH以上に急増し、待ち時間は3日半から2週間近くにまで延びた。MetaMaskが運営するバリデーターによって裏付けられたstETHトークンを発行するLidoは、stETH保有者に対し、影響を受けた最後のバリデーターが10月7日までに撤退すると伝えた。撤退、出金、新しい鍵での再入金、アクティベーション待ち行列への再エントリーという一連のサイクルには最大45日かかる可能性があり、その間、そのETHは何も収益を生まない。

Lidoのステーキング参加者にとって、本当の損失は盗まれた資金ではなく、失われた時間です。Lidoが設定した11ブロックからのチップ約0.19ETHが、Lidoの報酬保管庫ではなく、侵入者の手に渡りました。Lidoの6,750stETHの備蓄があれば、自社バリデーターに対する最悪のスラッシングシナリオをカバーできたはずです。しかし、MetaMaskが運営するすべてのバリデーターが同時にスラッシングされた場合（実際には起こりませんでしたが）、約22,000ETHが焼却され、Lidoの備蓄額を上回っていたでしょう。システムは、はるかに大きな危機を回避したのです。

憂慮すべき背景

これは孤立した出来事ではない。7月、Drop Site Newsは、MetaMaskの親会社（社名変更前）であるConsenSysが、北朝鮮と関係のあるソフトウェア開発者を約1ヶ月間コンサルタントとして知らずに雇用していたと報じた。この事件と9月30日のステーキング侵害を結びつける証拠はない。しかし、Tornado Cashの資金調達、KuCoinのルーティング、そして攻撃の静かなプロ意識は、ステーキングインフラに関わる者なら誰でも少し不安にさせるのに十分だ。

ステーキングプロバイダーが侵害の疑いを理由にバリデーターを撤退させるのは今回が初めてではない。競合事業者であるKilnは、昨年9月にSOLステーキング事業で4100万ドルの損失を出した後、すべてのアクティブなバリデーターを撤退させ、署名キーをローテーションさせ、関連インフラが侵害された可能性があるとみなした。こうしたパターンはもはやお馴染みのものになりつつある。小規模な侵害、大規模な予防措置、そしてキーの保管方法やアクセス権限を持つ人物に関する多くの疑問。

MetaMaskは、攻撃者がどのように侵入したのか、署名鍵が実際に侵害されたのか、あるいはどのインフラコンポーネントが標的になったのかを公には説明していない。同社は外部のセキュリティパートナーと協力していると述べているが、それ以上の詳細は明らかにしていない。現在ETHが出口待ちの状態にある数千人のステーキング参加者にとって、この沈黙は決して安心できるものではない。

プロバイダーを通じてETHをステーキングしている人への教訓は、プロバイダーが引き出しキーを管理していない限り、元本は恐らく安全だということです。しかし、何か問題が発生すると、報酬、稼働時間、そして忍耐力すべてが危険にさらされます。950ドルの盗難が、1.4億ドルのバリデーターの流出と2週間の引き出しボトルネックを引き起こしました。計算はばかげていますが、論理は正しいのです。ステーキングにおいて、署名キーの漏洩は小さな問題ではなく、すべてを焼き尽くしてやり直す理由となるのです。

---------------

著者： ドリアン・フェンウィック
シルiconバレーニュースルーム
暗号解読ニュース