「MetaMask」のステーキング基盤に不正アクセス、報酬約0.385 ETHが流出

「MetaMask」のステーキング基盤に不正アクセス、報酬約0.385 ETHが流出

MetaMaskは、ステーキング報酬の受取先アドレスを一元管理するインフラに、攻撃者が不正アクセスしたことを明らかにした。攻撃者は一部のバリデーターの報酬受取先アドレスを一時的に書き換え、実行レイヤーのステーキング報酬約0.385 ETHを別のアドレスへ流出させた。同社は2026年9月28日にセキュリティインシデントを確認し、9月30日に公表した。11月5日の続報では、問題を確認した当日に対処し、影響を受けたシステムの安全性を確保したと説明している。ただし、最初の侵入経路や具体的な攻撃手法は明らかにしていない。

MetaMaskによると、攻撃対象となったのは、ウォレットの秘密鍵やバリデーターの出金鍵ではなく、実行レイヤー報酬の受取先アドレスを保存するインフラだった。今回確認された資金流出も、顧客がステーキングしたETHの元本ではなく、報酬の一部に限られている。同社は、顧客のステーキング元本や出金鍵が侵害された証拠はなく、MetaMaskのウォレットやウォレット基盤にも侵害の兆候は確認されていないと発表した。また、ユーザーのシークレットリカバリーフレーズや秘密鍵も侵害されていないとしている。

今回の事案は、資産の出金に必要な鍵が侵害されていなくても、報酬の受取先アドレスが不正に変更されれば、ステーキング報酬が第三者へ送金される可能性があることを示している。一方、攻撃者がどのような権限や手法を利用して管理システムに侵入したのかは公表されておらず、特定の脆弱性が悪用されたかどうかも確認されていない。

MetaMaskは、被害の拡大を防ぐための予防措置として、影響を受けたイーサリアムのバリデーターを退出させた。11月5日の発表によると、対象となったバリデーターはすべて退出を完了している。ただし、バリデーターの退出とステーキング資産の出金は別の処理であり、一部の顧客では一時的な出金遅延が発生した。また、退出や再稼働を待つ間に、本来得られたはずのステーキング報酬を受け取れなかった可能性もある。

同社は、影響を受けた顧客や提携事業者と直接連絡を取り、残る影響への対応を進めている。流出した報酬の補填についても対応が報じられているが、具体的な補填額や完了状況は明らかになっていない。

通常のMetaMaskウォレット利用者については、今回のインシデントに伴う特別な対応は必要ないとしている。一方、影響を受けたステーキングサービスの利用者には、MetaMaskまたはステーキング提供事業者から直接案内される内容に従うよう求めている。