La salida de validadores de MetaMask lleva el atasco de retiros en Ethereum a máximos de nueve meses

MetaMask está retirando validadores de Ethereum tras un incidente de seguridad que desvió recompensas de comisiones de transacción. El investigador de seguridad on-chain Kaden afirmó que se han dado de baja de forma preventiva alrededor de 17.000 validadores operados por MetaMask, que custodiaban en conjunto aproximadamente 523.000 ETH. Según Kaden, un análisis detectó que las recompensas por comisiones de 18 de los 19 validadores que propusieron bloques fueron redirigidas a una dirección financiada a través de Tornado Cash. Estimó que el atacante solo habría capturado cerca de 0,36 ETH. MetaMask no ha confirmado las cifras de Kaden ni ha explicado el origen del incidente. La compañía indicó que parte de su infraestructura se vio comprometida y que, por precaución, está retirando los validadores afectados mientras trabaja con clientes, socios y asesores de seguridad. Añadió que no ha identificado una amenaza inmediata para las carteras de MetaMask. MetaMask remarcó que su servicio de staking es no custodial y que no controla las claves de retirada de los clientes. Con acceso únicamente a nivel de validador, un atacante no podría retirar el stake subyacente, aunque unas claves de firma comprometidas podrían exponer a los validadores a penalizaciones si se usan de forma indebida. Kaden señaló que 821 validadores potencialmente afectados aún no han salido, incluidos tres cuyas recompensas habrían sido desviadas. No está claro por qué siguen activos ni si el atacante puede cambiar a más destinatarios de comisiones. MetaMask tampoco ha detallado cuántos validadores se vieron afectados, si se expusieron claves de firma o si se produjo algún slashing. Los datos de Validator Queue mostraban que el miércoles había unos 773.447 ETH en espera para abandonar el conjunto de validadores de Ethereum, lo que implica un tiempo de salida de 13 días y 10 horas. Validator Queue estimó además un retraso adicional de 7,6 días por la "withdrawal sweep". El atasco fue el mayor desde diciembre de 2025 y superó los aproximadamente 476.000 ETH en espera durante un pico previo en mayo, según Validator Queue. Ethereum limita la velocidad a la que el stake puede entrar o salir del conjunto de validadores para evitar cambios bruscos que desestabilicen su consenso proof-of-stake. Validator Queue situó el ritmo de procesamiento de salidas en 256 ETH por época, y cada época dura alrededor de 6,4 minutos. El plazo estimado de 7,6 días para la "withdrawal sweep" comienza una vez que los validadores salientes pasan a ser retirables; entonces Ethereum transfiere los saldos a las direcciones de retirada designadas. Lido, plataforma en la que MetaMask opera validadores, calcula que el proceso completo de salida, retirada y eventual reentrada podría prolongarse hasta 45 días. Los validadores que regresan se enfrentan a una cola de entrada que actualmente es de 27 días.