MetaMask retira validadores en Lido tras incidente de seguridad

MetaMask está retirando los validadores de Ethereum afectados que operaban a través de su servicio de staking no custodio tras un incidente de seguridad en su infraestructura. Por su parte, Lido prevé que la salida de los últimos validadores concluya para el 7 de octubre de 2026. Este ciclo completo de salida, retiro y reentrada de fondos podría extenderse hasta aproximadamente 45 días, aunque MetaMask ha aclarado que no ha detectado amenazas inmediatas para sus billeteras.

En una actualización para los usuarios publicada hace pocas horas,

Security Update: We are responding to a security incident affecting part of our infrastructure.

At this time, we have identified no immediate threat to MetaMask wallets.

As a precaution, we are proactively exiting affected validators within our non-custodial staking operations,…

— MetaMask 🦊 (@MetaMask) September 30, 2026

informó que se encuentra respondiendo a un incidente de seguridad en curso que afecta a una parte de su infraestructura. La empresa señaló que está trabajando en la remediación junto a socios externos y asesores de seguridad, mientras toma medidas de precaución para retirar los validadores comprometidos en sus operaciones de staking no custodio.

MetaMask Staking, anteriormente conocido como ConsenSys Staking, opera en Lido. El operador comenzó a retirar sus validadores de Ethereum del protocolo tras investigar el compromiso de su infraestructura, según reveló una comunicación en el foro de gobernanza de Lido.

Aunque MetaMask firma por los validadores que opera, la compañía enfatizó que no gestiona las claves de retiro de los clientes. Por lo tanto, el operador no tiene la capacidad de mover el stake subyacente en nombre de los usuarios.

Following an investigation into an infrastructure compromise, MetaMask Staking (ex Consensys Staking) has taken precautionary steps to protect client assets related to its operated Ethereum validators.

These steps include exiting its Ethereum (ETH) validators in the Lido… https://t.co/nsox7h0I5k

— Lido (@LidoFinance) September 30, 2026

Lido aseguró que los tenedores de stETH no necesitan realizar ninguna acción. No obstante, la salida podría implicar costos: los validadores afectados podrían dejar de percibir recompensas y, si se desconectan antes de completar el proceso para reducir riesgos de red, podrían incurrir en penalizaciones por inactividad (downtime penalties).

Este suceso subraya los riesgos operativos que enfrenta la infraestructura cripto, donde un problema de seguridad en un proveedor de servicios puede generar interrupciones incluso sin que exista un exploit directo en el protocolo. Hasta el momento, no se ha hecho pública la cifra exacta de validadores afectados ni la cantidad de ETH involucrada.

¿Ha gestionado Lido salidas masivas antes de este incidente con MetaMask?

Lido sostiene que su conjunto diversificado de operadores de nodos y sus sistemas de seguridad están diseñados para contener este tipo de disrupciones. Estas salvaguardas incluyen un fondo de reserva ad hoc que supera los 6.750 stETH.

Existen precedentes de salidas preventivas similares. En septiembre de 2025, el proveedor de staking Kiln retiró 5.726 validadores en varias redes después de que un token de GitHub comprometido permitiera a un atacante acceder a su infraestructura. Posteriormente, Lido estimó que dichas salidas costaron cerca de 207 ETH en recompensas de protocolo no percibidas.

En 2023, el mismo operador (bajo el nombre de Consensys) retiró por error 125 validadores de Lido y compensó a los stakers por las recompensas perdidas. Si bien estos antecedentes demuestran que las salidas a gran escala pueden generar costos en las recompensas, no indican que el incidente actual comparta el mismo vector de ataque o que tendrá una resolución idéntica.

Asimismo, las colas de validadores de Ethereum condicionan la rapidez con la que el stake puede volver a estar activo, un factor relevante para todo el ecosistema de la red.

El ciclo de 45 días y el alcance por resolver

Lido espera que los últimos validadores afectados hayan salido, aunque no se hayan retirado totalmente, para el final del 7 de octubre. Se prevé que el ETH regrese de forma gradual a medida que los validadores completen la secuencia de salida, retiro y reentrada, un proceso que Lido estima en hasta 45 días debido a la extensa cola de entrada actual.

Este cronograma no implica necesariamente que todo el ETH afectado estará indisponible durante todo el periodo. Describe la duración potencial del ciclo completo, mientras que los validadores individuales podrían avanzar en tiempos distintos. Durante el proceso, el stake retirado dejará de generar recompensas hasta que vuelva a estar activo.

Tanto MetaMask como Lido han confirmado que hay una investigación exhaustiva en marcha y que compartirán nuevas actualizaciones conforme estén disponibles. Las principales incógnitas siguen siendo qué parte específica de la infraestructura de MetaMask fue comprometida y si el problema trascendió más allá de las operaciones de staking. Esto es todo lo que se conoce hasta el momento.