Коротко: Поздно вечером 30 сентября 2026 года MetaMask сообщила, что разбирается с продолжающимся инцидентом безопасности в части своей инфраструктуры и не видит прямой угрозы кошелькам MetaMask. В качестве меры предосторожности MetaMask Staking (бывший Consensys Staking) начал выводить из работы своих Ethereum-валидаторов, в том числе в протоколе Lido; по данным Lido, последние из них встанут в очередь на выход к 7 октября, а держателям stETH ничего делать не нужно. 1 октября отдельный баг увёл около $3,8 млн из NEAR Intents — команда пообещала полностью возместить потери, а 2 октября средства вернули.
Что произошло в MetaMask?
MetaMask опубликовала в X короткое обновление о «продолжающемся инциденте безопасности, затрагивающем часть нашей инфраструктуры». Какую именно часть, как проблему обнаружили и кто за ней стоит, компания не уточнила. Она сообщила, что устраняет проблему вместе с внешними партнёрами и консультантами по безопасности и «превентивно выводит затронутых валидаторов в рамках некастодиального стейкинга». В следующем сообщении говорилось, что расследование продолжается, признаков влияния на кошельки и средства клиентов по-прежнему нет, и прозвучало стандартное напоминание: никому не сообщайте сид-фразу.
Главное — где именно случился инцидент. Кошелёк MetaMask хранит ключи на устройстве пользователя, а MetaMask Staking — отдельный бизнес, который управляет Ethereum-валидаторами для клиентов и для Lido, крупнейшего протокола ликвидного стейкинга. По данным Cointelegraph, на сайте MetaMask указано, что стейкинг-подразделение управляет более чем $3 млрд в застейканном ETH. Старое название Consensys за ним тянется потому, что MetaMask сейчас выделяется из Consensys в отдельную компанию — об этом мы писали в материале MetaMask становится независимой компанией.
Почему MetaMask Staking уходит из Lido?
Lido 30 сентября опубликовала собственное уведомление о безопасности на форуме управления. В нём сказано, что MetaMask Staking принял превентивные меры для защиты клиентских активов после расследования компрометации инфраструктуры и что выход его валидаторов уже начался. Последние валидаторы должны встать в очередь на выход до конца 7 октября — но это ещё не значит, что средства будут полностью выведены.
Выход — консервативный шаг, когда оператор не уверен, кто ещё может иметь доступ к инфраструктуре подписи. Валидатор, подписавший то, что не должен был, рискует получить слэшинг, а остановка снимает этот риск. Плата — недополученный доход: Lido предупредила об упущенных наградах и возможных штрафах за простой, если валидаторы уйдут в офлайн в ближайшие дни. ETH возвращается постепенно, через цикл выхода, вывода и повторного входа, который, по оценке Lido, займёт до 45 дней из-за длинной очереди на вход в Ethereum.
Обе компании подчёркивают, что схема некастодиальная: у MetaMask Staking нет ключей вывода, поэтому он не может распоряжаться застейканным ETH клиентов. Для держателей stETH Lido назвала две подушки безопасности: распределение стейка между множеством операторов и резервный фонд на более чем 6750 stETH.
Что говорят ончейн-аналитики?
Компании цифр не публиковали, но исследователь, отслеживающий валидаторов в X (на него ссылаются Decrypt и The Crypto Basic), обнаружил, что 18 из 19 последних наград за блоки, полученных валидаторами MetaMask, ушли не на положенный адрес, а на адрес, пополненный через Tornado Cash. Это около 0,36 ETH — меньше $1000. По той же оценке, в качестве меры предосторожности выводятся примерно 17 000 валидаторов с ~523 000 ETH (около $1,4 млрд), а возможности вывести застейканный ETH у атакующего, скорее всего, не было. MetaMask и Lido эти цифры не подтверждали.
Крупные пользователи stETH отреагировали спокойно. Основатель Aave Стани Кулечов сказал, что команда следит за ситуацией и не видит влияния на рынки Aave, где stETH — популярный залог, а Гай Янг из Ethena заявил, что у USDe нет прямой экспозиции на токены ликвидного стейкинга. Это уже второй случай примерно за год, когда крупный оператор Lido выводит валидаторов: в сентябре 2025 года Kiln вывел все свои Ethereum-валидаторы из-за подозрения на компрометацию инфраструктуры.
Что случилось с NEAR Intents?
В четверг, 1 октября, кроссчейн-сервис обменов NEAR Intents, через который меняют токены между десятками сетей, остановил работу после эксплойта примерно на $3,8 млн. Команда объяснила его багом во взаимодействии инфраструктуры ввода и вывода Omni со смарт-контрактом NEAR Intents; пострадал USDT в BNB Smart Chain. Ончейн-детектив ZachXBT заметил аномальные выводы с горячего кошелька протокола в BSC и сообщил, что средства ушли на KuCoin и были переброшены в биткоин.
Баг закрыли примерно за час, NEAR Intents и near.com заработали в тот же день, но ввод и вывод в 11 сетях, включая BSC, Polygon и Optimism, оставались приостановлены ещё около 12 часов. Сооснователь Илья Полосухин заявил, что все пострадавшие пользователи получат полную компенсацию, команда обратилась в правоохранительные органы. Генеральный менеджер Алекс Шевченко дал атакующему 48 часов на возврат денег, а в пятницу, 2 октября, сообщил, что $3,8 млн вернули полностью; в ончейн-сообщении, предположительно от эксплойтера, тот признал, что был неправ. За два дня до эксплойта этот же сервис заблокировал обмен на $50 млн, связанный со взломом Bitget.
Главное в цифрах
| Параметр | MetaMask Staking | NEAR Intents |
|---|---|---|
| Раскрытие | 30 сентября 2026 года | 1 октября 2026 года |
| Что затронуто | Часть инфраструктуры MetaMask, связанная со стейкингом; детали не раскрыты | Слой ввода/вывода Omni и контракт NEAR Intents (USDT в BSC) |
| Ущерб | Не подтверждён; по оценке аналитиков — около 0,36 ETH перенаправленных наград | Около $3,8 млн, возвращены 2 октября |
| Средства пользователей | Угрозы кошелькам не выявлено; ключей вывода у MetaMask нет | Обещана полная компенсация; позже средства вернули |
| Реакция | Превентивный выход валидаторов, последние — к 7 октября | Остановка сервиса, патч, 11 сетей на паузе около 12 часов |
| Нужно ли что-то делать | Держателям stETH — нет, по словам Lido | Для компенсации действий не требуется |
Что делать пользователям MetaMask и стейкинга?
- Не «мигрируйте» и не «верифицируйте» кошелёк. Ни один из инцидентов не требует переводить средства, заново импортировать сид-фразу или подключаться к каким-либо сайтам. Такие новости притягивают фишинг: фальшивую поддержку, рекламу и письма с просьбой ввести сид-фразу или подписать транзакцию. MetaMask никогда не спрашивает сид-фразу. Типовые уловки разобраны в материале про отравление адресов и фишинг через подписи.
- Обновляйтесь только из официальных источников. Ставьте и обновляйте расширение из официального магазина браузера или с metamask.io, новости проверяйте в каналах самой MetaMask.
- Держателям stETH можно ничего не делать. Lido прямо говорит, что действий не требуется. Если следите за курсом stETH/ETH, помните: небольшие просадки на новостях — обычное дело, а продажа в панике лишь фиксирует худшую цену.
- Прямым клиентам MetaMask Staking стоит ждать паузы в доходе. Пока стейк стоит в очередях, награды не начисляются, а полный цикл может занять до 45 дней. Статус смотрите в MetaMask Portfolio, а не на сторонних сайтах.
- Пользователям NEAR Intents — проверять сеть перед отправкой. Убедитесь, что нужная сеть снова работает, прежде чем делать депозит, и сохраните хеши транзакций по зависшим обменам. Никто не попросит ключи или комиссию за «разблокировку» компенсации.
- Не завязывайтесь на один маршрут. Для разовых обменов можно сравнить курсы разных сервисов в списке обменников changerella.com или обменять без регистрации через некастодиальный агрегатор app.changerella.com — тогда пауза одного сервиса вас не остановит.
Почему это важно
Два события показывают разные стороны одного урока. У MetaMask самое ценное было защищено архитектурно: ключи вывода у клиентов, поэтому даже скомпрометированный оператор мог в худшем случае перенаправить немного наград или подставить валидаторов под слэшинг, а выход валидаторов снимает этот риск ценой дохода. У NEAR Intents слабым местом оказалась «склейка» двух систем — знакомая по взломам мостов история. В обоих случаях быстрое публичное раскрытие и понятные инструкции не дали разгореться панике.
Частые вопросы
Безопасен ли мой кошелёк MetaMask после инцидента?
MetaMask заявляет, что не выявила прямой угрозы кошелькам и признаков того, что пострадали средства клиентов. Инцидент касается части инфраструктуры, связанной со стейкингом. Храните сид-фразу в секрете и игнорируйте любые просьбы «защитить» или перенести кошелёк.
Почему MetaMask выводит валидаторов из Lido?
Это мера предосторожности. MetaMask Staking, бывший Consensys Staking, управляет валидаторами для Lido и отключает те, что могли быть затронуты компрометацией инфраструктуры. Lido ожидает, что последние встанут в очередь на выход к 7 октября 2026 года, а ETH вернётся в протокол примерно в течение 45 дней.
Нужно ли что-то делать держателям stETH?
Нет. Lido сообщает, что действий не требуется. У MetaMask Staking нет ключей вывода, стейк в Lido распределён между многими операторами, а резервный фонд превышает 6750 stETH.
Сколько потеряла NEAR Intents при эксплойте?
Около $3,8 млн в USDT в BNB Smart Chain из-за бага во взаимодействии слоя ввода и вывода Omni с контрактом NEAR Intents. NEAR пообещала полную компенсацию, а 2 октября 2026 года команда сообщила, что средства вернули полностью.
Могли ли хакеры украсть застейканный ETH у MetaMask Staking?
Свидетельств этому нет. Аналитики сообщают лишь о примерно 0,36 ETH наград за блоки, перенаправленных на адрес, пополненный через Tornado Cash, — компании эту цифру не подтверждали. Ключи вывода хранятся у клиентов, а не у MetaMask.