仮想通貨ウォレット「メタマスク」は5日、9月に発生したセキュリティインシデントの続報を 公式サイトで公表 した。攻撃者がイーサリアム（ ETH ）のステーキング報酬の受取先アドレスを一時的に書き換え、約0.385ETHが流出した。影響を受けたバリデーターは全て退出を終えた。
同社がインシデントを把握したのは9月28日。受取先アドレスを一元的に保管していたインフラに不正アクセスがあり、一部のバリデーターで設定が変更された。書き換えは発生当日に特定し、対処したという。
メタマスクは9月30日に事案を公表し、予防措置としてバリデーターの退出を進めていた。当時は原因や影響範囲を明らかにしていなかった。
流出したのは、ブロック生成時に得られる手数料などの実行レイヤー報酬だ。顧客がステーキングしたETHの元本とは別に扱われる。同社のステーキング事業「MetaMask Staking」（旧Consensys Staking）は非管理型で、元本の引き出しに使う出金鍵を同社は管理していない。同社は、この分離が元本の保護につながったと説明した。
同社は不正アクセスを「封じ込めた」とし、元本や出金鍵が侵害された証拠は見つかっていないと述べた。ウォレットやウォレット基盤が侵害された兆候もなく、ウォレット利用者が対応する必要はないという。シークレットリカバリーフレーズや秘密鍵の開示を求めることはないとして、フィッシングへの注意も呼びかけている。
イーサリアムでは、バリデーターの退出と資金の引き出しは別の手続きになる。退出が済んでも、出金や再ステーキングまでには時間がかかる。同社によると、予防的な退出の影響で一部の顧客に一時的な出金遅延が生じた。退出中や再稼働待ちの期間には、ステーキング報酬を得られなかった可能性もある。同社は影響を受けた顧客やパートナーと個別に対応を進める。
流動性ステーキングプロトコルのLidoは9月30日、同プロトコル内でメタマスクが運用するバリデーターの退出が10月7日までに完了する見込みだと説明していた。退出したETHがプロトコルに戻るまでには、最大45日程度かかる見込みだとしている。
