Un incident de sécurité chez MetaMask a affecté une partie de l’infrastructure de la société. Cependant, le fournisseur de wallet affirme qu’aucune menace immédiate ne pèse, à ce stade, sur les wallets des utilisateurs.
Par mesure de précaution, la société désactive également certaines machines de staking Ethereum qu’elle exploite pour ses clients. Elle n’a pas précisé quels systèmes ont été touchés par l’incident.
Les wallets sont-ils concernés par l’incident de sécurité chez MetaMask ?
Pour les utilisateurs au quotidien, le principal message à retenir pour l’instant est d’être serein. MetaMask indique qu’il résout ce problème en interne, avec l’aide de partenaires externes et de conseillers en sécurité.
La société n’a pas demandé aux utilisateurs de déplacer leurs fonds ou de modifier les paramètres de leurs wallets. Elle prévoit plutôt de communiquer davantage au fil de l’avancée de son enquête.
Néanmoins, les escrocs profitent souvent de ce type d’actualité pour diffuser de fausses alertes de sécurité. Les utilisateurs doivent ignorer tout message non sollicité demandant leur phrase de récupération, puisque une simple signature de phishing peut vider un wallet.
Pourquoi MetaMask désactive-t-il ses validateurs pour le staking ?
La deuxième partie de la réponse concerne le staking, et non les wallets classiques. MetaMask exploite des validateurs, ces ordinateurs qui immobilisent de l’Ether (ETH) pour sécuriser Ethereum et générer des récompenses.
Certains opèrent au travers de Lido, un service permettant aux utilisateurs de staker de l’ETH et d’obtenir en retour un jeton appelé stETH. MetaMask a repris cette unité de staking, auparavant Consensys Staking, lors de sa séparation d’avec Consensys en septembre.
En raison de l’incident de sécurité, MetaMask est maintenant en train de désactiver ces validateurs. Selon Lido, les derniers devraient arrêter de fonctionner d’ici la fin du 7 octobre. Cependant, l’ETH sera restitué progressivement à Lido puis remis en staking, un processus qui pourrait durer environ 45 jours. Les détenteurs de stETH conservent leurs tokens durant toute la période.
Lido a également informé les détenteurs de stETH qu’aucune action n’est requise de leur part. Un fonds de réserve de plus de 6 750 stETH pourra compenser tout éventuel désagrément, indique le protocole.
En parallèle, cet épisode soulève de nouvelles questions de sécurité autour de la société. En juillet, Consensys a révélé avoir découvert un développeur nord-coréen caché œuvrant sur le code de MetaMask.
Les prochaines actualisations de MetaMask permettront de mesurer l’ampleur de l’incident. D’ici là, il est recommandé de se fier uniquement aux canaux officiels de MetaMask pour suivre l’actualité.
