MetaMask rút các validator khỏi Lido sau sự cố an ninh hạ tầng

MetaMask đang tiến hành rút các validator Ethereum của mình khỏi giao thức staking Lido như một biện pháp phòng ngừa, trong bối cảnh một sự cố an ninh đang ảnh hưởng đến một phần hạ tầng vận hành của dự án. MetaMask cho biết chưa ghi nhận mối đe dọa trực tiếp nào đối với ví MetaMask. Theo MetaMask, công ty đang phối hợp xử lý nội bộ cùng các đối tác bên ngoài và cố vấn an ninh, đồng thời đưa các validator bị ảnh hưởng trong mảng staking không lưu ký (noncustodial) vào quy trình thoát (exit). Về phía Lido, dự án mô tả nguyên nhân là một vụ xâm phạm hạ tầng đang được điều tra. Lido cho biết các validator liên quan đã bắt đầu thoát và dự kiến validator cuối cùng sẽ hoàn tất thoát (nhưng chưa rút hết tiền) trước cuối ngày 7/10. Lido cảnh báo việc thoát có thể làm giảm phần thưởng và có khả năng phát sinh phạt thời gian hoạt động (downtime penalties) nếu validator bị offline trong vài ngày tới. Dự án nói lượng stake đã thoát sẽ quay lại giao thức dần dần theo chu kỳ thoát – rút – tái tham gia, với thời gian tối đa khoảng 45 ngày do hàng đợi tham gia mạng Ethereum đang kéo dài. Hai bên không cho biết các validator MetaMask vận hành ở nơi khác có liên quan hay không. Cả MetaMask và Lido đều nhấn mạnh cơ chế staking là không lưu ký và MetaMask không nắm giữ withdrawal keys đối với phần stake của khách hàng. Lido nói người nắm giữ stETH không cần thực hiện hành động nào. Dự án cũng viện dẫn hệ thống nhà vận hành node đa dạng và quỹ dự phòng đặc biệt hơn 6.750 stETH như các lớp đệm nhằm giảm gián đoạn. Một phân tích onchain của nhà nghiên cứu Kaden (chưa được hai công ty xác nhận) cho thấy 19 validator của MetaMask đã nhận thưởng block. Kaden cho biết 18 khoản thanh toán trong số đó đã được gửi tới một địa chỉ được cấp vốn thông qua công cụ trộn Tornado Cash thay vì đúng địa chỉ nhận phí, tổng cộng khoảng 0,36 ETH, tương đương dưới 1.000 USD theo giá hiện tại. Phân tích này cũng gợi ý khoảng 17.000 validator đang được cho thoát như một biện pháp phòng ngừa, nắm giữ khoảng 523.000 ETH trị giá xấp xỉ 1,4 tỷ USD. Báo cáo còn xác định 821 validator có thể bị ảnh hưởng nhưng chưa thoát. Kaden nhận định chưa rõ liệu kẻ tấn công có thể thay đổi fee recipient trên toàn bộ tập validator hay không. Theo ông, kẻ tấn công nhiều khả năng chưa từng có khả năng rút ETH đã stake, nhưng về nguyên tắc validator vẫn có thể bị "slashed" có chủ đích, tùy cách quyền ký (signing access) bị giành được. Nhà sáng lập Aave Stani Kulechov cho biết Aave đang theo dõi tình hình với Lido và các thị trường Aave chưa bị ảnh hưởng. Nhà sáng lập Ethena Guy Young nói các tài sản bảo chứng cho đồng USD tổng hợp USDe hiện không có mức phơi nhiễm trực tiếp với stETH hay bất kỳ token liquid staking nào khác, do đó ông kỳ vọng không có tác động. Trước đó, Kiln đã rút toàn bộ validator Ethereum vào tháng 9/2025 sau khi phát hiện điều mà CEO gọi là khả năng xâm phạm hạ tầng. Tính đến hiện tại, MetaMask và Lido vẫn chưa công bố cụ thể thành phần nào bị xâm phạm, cách sự cố xảy ra hoặc bên chịu trách nhiệm. Cuộc điều tra đang được tiến hành và hai bên cho biết sẽ cập nhật thêm.