MetaMask confirma incidente de segurança e retira validadores: o que se sabe

🔍 Apuração KriptoHoje

Empresa diz não ter identificado ameaça imediata às carteiras, mas começou a retirar validadores de sua operação de staking. A Lido fala em comprometimento de infraestrutura. Veja o que foi dito, o que falta explicar e o histórico de incidentes da carteira desde 2018.

Apuração fechada à 0h40 de 1º de outubro de 2026 (horário de Brasília). Esta matéria será atualizada à medida que surgirem novas informações.

A MetaMask, carteira de autocustódia mais popular do ecossistema Ethereum, informou na noite de quarta-feira, 30 de setembro de 2026, que responde a um incidente de segurança em andamento que atinge parte de sua infraestrutura. Em nota publicada por volta das 20h35 (horário de Brasília), a empresa disse não ter identificado, até aquele momento, ameaça imediata às carteiras dos usuários.

O efeito prático já aparece na rede. Por precaução, a companhia começou a retirar os validadores afetados de sua operação de staking, serviço em que opera nós do Ethereum para clientes e parceiros. Minutos depois, a Lido, maior protocolo de staking líquido do Ethereum, que tem a MetaMask Staking entre seus operadores de nós, publicou um aviso de segurança mais direto: a medida foi tomada depois de uma investigação sobre um comprometimento de infraestrutura.

Nenhuma das duas disse o que foi comprometido, quando, por quem, nem quantos validadores estão envolvidos. Também não há relato oficial de furto de fundos. Dados públicos do registro de operadores da Lido, consultados pelo KriptoHoje, mostram que a operação respondia por 7.204 validadores no módulo principal do protocolo, o equivalente a cerca de 230,5 mil ETH.

Incidente de segurança da MetaMask: o que a empresa comunicou

A nota, intitulada “User update”, foi publicada no site da MetaMask e replicada no perfil da empresa no X às 20h38. São cinco afirmações:

• a empresa responde a um incidente de segurança em andamento que afeta parte de sua infraestrutura;
• o problema está sendo tratado internamente, com apoio de parceiros externos e consultores de segurança;
• até aquele momento, nenhuma ameaça imediata às carteiras MetaMask havia sido identificada;
• por precaução, os validadores afetados de sua operação de staking estão sendo retirados da rede, em coordenação com clientes e parceiros;
• a situação segue monitorada e novas atualizações serão divulgadas.

“Neste momento, não identificamos nenhuma ameaça imediata às carteiras MetaMask”, diz o texto, em tradução livre.

A nota também lembra que a operação de staking é não custodial e que a empresa não administra as chaves de saque dos clientes. Parece um detalhe técnico, mas é o ponto central para medir o risco, como se verá adiante.

O comunicado não informa qual parte da infraestrutura foi atingida, quando o problema começou, como foi descoberto nem quantos validadores estão sendo retirados. Até o fechamento desta apuração, a página não havia recebido nenhuma atualização.

O que a Lido revelou a mais

Às 20h40, o fórum de governança da Lido recebeu um aviso de segurança assinado por Will Shannon, do grupo de trabalho dedicado aos operadores de nós do protocolo. O título já entrega mais do que a nota da MetaMask: trata de “saídas preventivas fora de ordem” dos validadores da MetaMask Staking, novo nome da antiga Consensys Staking.

Segundo o texto, a decisão veio depois de uma investigação sobre um comprometimento de infraestrutura e busca proteger os ativos de clientes ligados aos validadores que a empresa opera. A Lido informa que:

• os validadores que a MetaMask Staking opera no protocolo estão sendo retirados, e os últimos devem sair até o fim do dia 7 de outubro de 2026;
• a medida deve custar recompensas que deixarão de ser geradas e pode trazer penalidades por inatividade, caso os validadores sejam desligados nos próximos dias para reduzir o risco de punições da rede;
• o ETH retirado volta ao protocolo aos poucos, em um ciclo de saída, saque e reentrada estimado em até cerca de 45 dias por causa da fila de entrada do Ethereum;
• o protocolo conta com um conjunto diversificado de operadores e com um fundo de reserva de mais de 6.750 stETH, cerca de US$ 18 milhões pela cotação da madrugada de 1º de outubro;
• uma investigação completa está em curso e novas informações serão divulgadas.

“Nenhuma ação é necessária por parte dos detentores de stETH”, afirma o aviso, em tradução livre.

O incidente também mobilizou outros protocolos que usam o stETH. Stani Kulechov, fundador da Aave, escreveu no X que a equipe acompanha o caso em conjunto com a Lido e que os mercados da Aave não foram afetados, segundo o PANews.

Os números do incidente

Como chegamos a esses números. A MetaMask e a Lido não divulgaram quantos validadores estão sendo retirados. O KriptoHoje consultou o registro público de operadores da Lido à 0h13 de 1º de outubro de 2026 (horário de Brasília). Nele, a operação ainda aparece com o nome antigo, Consensys: são 11.213 chaves de validadores depositadas no módulo curado original, das quais 4.009 já constavam como encerradas, o que deixa 7.204 validadores em operação, cerca de 3% daquele módulo. Como cada validador desse módulo trabalha com 32 ETH, o total é de aproximadamente 230,5 mil ETH, ou ao menos 2,3% de todo o ETH em staking pela Lido, que soma 9,84 milhões de stETH em circulação segundo o CoinGecko.

No módulo curado v2, que aceita validadores de até 2.048 ETH, o mesmo operador tem outros 133 validadores, cujo saldo não aparece no registro. Trata-se de cálculo próprio sobre dados públicos, não confirmado pelas empresas. A cotação usada é a do ether perto de US$ 2.685, segundo o CoinGecko, e os dados de fila são do validatorqueue.com, ambos consultados entre 0h05 e 0h25 de 1º de outubro.

Por que retirar validadores: chaves, slashing e a fila do Ethereum

Para entender a decisão, é preciso separar duas chaves. Todo validador do Ethereum tem uma chave de assinatura, usada o tempo todo para votar e propor blocos, e uma credencial de saque, que define para onde o ETH vai quando o validador é encerrado. Em um serviço não custodial, o operador guarda só a primeira. A segunda fica com o cliente; no caso da Lido, aponta para um contrato do próprio protocolo.

Quem obtém uma chave de assinatura não consegue sacar o ETH. O que consegue é fazer o validador se comportar mal, por exemplo assinando duas mensagens conflitantes. O Ethereum pune esse comportamento com o slashing: o validador é expulso da rede e perde parte do saldo, e a punição cresce quando muitos validadores são punidos no mesmo período.

Por isso, quando há suspeita sobre a infraestrutura que guarda essas chaves, operadores profissionais costumam preferir encerrar os validadores, mesmo abrindo mão de recompensas. Vale a ressalva: nem a MetaMask nem a Lido afirmaram que chaves de assinatura foram acessadas. A descrição acima explica a lógica da medida, não o que ocorreu.

A expressão “fora de ordem” usada pela Lido é jargão do protocolo. Em condições normais, é a própria Lido que indica quais validadores devem sair, e em que sequência, para atender a pedidos de saque. Desta vez, o operador saiu por iniciativa própria.

De onde vêm os 45 dias

O prazo é consequência das filas do Ethereum, que limitam quanto ETH entra e sai da validação por dia. Na madrugada de 1º de outubro de 2026, segundo o validatorqueue.com, a fila de saída somava 787,8 mil ETH, com espera de 13 dias e 16 horas para novos pedidos, e a de entrada, 1,58 milhão de ETH, com espera de 27 dias e 11 horas. Depois de sair, o ETH ainda aguarda o ciclo automático de saques da rede, hoje de cerca de 7,7 dias, antes de ser depositado de novo em outros operadores. Somadas as etapas, chega-se a um prazo próximo da estimativa da Lido.

Durante esse intervalo, aquele ETH não gera recompensas. Como os validadores identificados no registro representam uma fração pequena do total da Lido, o efeito sobre o rendimento do stETH tende a ser limitado e diluído entre todos os detentores. Na mesma madrugada, o token seguia negociado praticamente em paridade com o ether, perto de US$ 2.685, segundo o CoinGecko.

O que ainda não se sabe

• Qual parte da infraestrutura foi comprometida e de que forma.
• Quando o comprometimento começou e quando foi detectado.
• Se chaves de assinatura de validadores chegaram a ser acessadas.
• Quantos validadores e quanto ETH estão sendo retirados no total, e quais clientes além da Lido foram afetados.
• Se outros sistemas da empresa foram atingidos. A nota diz apenas que não foi identificada ameaça imediata às carteiras.
• Quem está por trás do incidente e se há relação com episódios anteriores.

Em respostas a publicações sobre o caso no X, houve usuários relatando carteiras esvaziadas nos últimos dias. Não há evidência pública que ligue esses relatos ao incidente. Golpes de phishing e de assinatura maliciosa acontecem todos os dias, com ou sem incidente em curso.

O que muda para quem usa a MetaMask

Quem só usa a carteira. A MetaMask é uma carteira de autocustódia: as chaves são criadas e guardadas pelo próprio usuário, não pela empresa. Com o que foi divulgado até agora, não há orientação oficial para mover fundos, trocar de carteira ou reinstalar o aplicativo.

Quem tem stETH. Segundo a Lido, nenhuma ação é necessária. O ETH dos validadores retirados volta ao protocolo e é redistribuído a outros operadores. O KriptoHoje explicou recentemente como funciona o resgate desse tipo de token.

Quem faz staking direto pela MetaMask. A empresa diz que coordena a retirada com clientes e parceiros, mas não detalhou quais produtos foram atingidos. Um validador retirado deixa de gerar recompensas até que o ETH volte a ser depositado. Como a empresa não administra as chaves de saque, ela não tem como redirecionar esses fundos, e um invasor que tivesse apenas chaves de assinatura também não teria. O caminho é acompanhar a página oficial de atualizações.

Para todos: atenção redobrada a golpes. Incidentes públicos costumam ser seguidos por campanhas de phishing que usam o próprio comunicado como isca: e-mails de atualização obrigatória, falsos avisos de verificação, perfis de suporte que oferecem ajuda. A MetaMask não pede a frase de recuperação por e-mail, mensagem ou formulário, e atualizações legítimas chegam pela loja oficial do navegador ou do celular, nunca por link.

Nada disso depende do incidente desta semana, mas é um bom momento para revisar o básico: conferir as permissões concedidas a contratos, separar a carteira do dia a dia daquela que guarda patrimônio e, para valores maiores, manter as chaves em um dispositivo dedicado, fora do computador e do celular.

O precedente da Kiln, em setembro de 2025

A reação da MetaMask Staking segue um roteiro já visto. Em setembro de 2025, depois que invasores exploraram uma API da Kiln para desviar cerca de 192,6 mil SOL, perto de US$ 40 milhões, de um programa de rendimento da SwissBorg, a operadora decidiu retirar todos os seus validadores do Ethereum por precaução. A previsão era de 10 a 42 dias para as saídas e de até nove dias adicionais para os saques, segundo o The Block.

“Sair dos validadores é o passo responsável para proteger os stakers”, disse na época o CEO da Kiln, Laszlo Szabo, em tradução livre.

O episódio congestionou a rede: o relatório de segurança da própria MetaMask daquele mês registrou mais de 2,5 milhões de ETH acumulados na fila de saída. O ETH que estava em staking com a Kiln não foi perdido. Ficou a lição de que a saída preventiva protege o principal, mas tem custo: semanas sem recompensa e pressão sobre as filas da rede.

Um 2026 turbulento para a MetaMask

O incidente chega em um ano carregado para a empresa. Em 17 de julho de 2026, o Drop Site News revelou que um prestador de serviço ligado à Coreia do Norte, que usava o nome Tyler Knapp, trabalhou no código da MetaMask por cerca de um mês, a partir de 9 de março. A Consensys confirmou o caso: disse que ele foi apresentado por um fornecedor terceirizado, que o acesso foi cortado em abril, que os lançamentos de produto ficaram suspensos durante a apuração e que não encontrou código malicioso nem desvio de ativos ou de dados.

“Muito rapidamente depois de ele ser apresentado, descobrimos a ameaça”, afirmou o diretor jurídico Matt Corva, em tradução livre. O KriptoHoje acompanhou o caso na época.

Em 9 de setembro, a Consensys anunciou que vai se dividir em duas empresas até o fim de 2026: a MetaMask, voltada ao consumidor e comandada pelo fundador Joseph Lubin, e uma Consensys dedicada a protocolos e clientes institucionais, sob Mike Kriak, segundo a Fortune e o BeInCrypto. O plano de abertura de capital, que de acordo com o Tokenist havia sido adiado para, no mínimo, o outono do hemisfério norte, segue sem data.

Não há, até aqui, indicação pública de relação entre esses fatos e o incidente desta semana. Eles ajudam a dimensionar o momento: a carteira muda de estrutura societária, amplia a oferta de serviços financeiros e lida com o segundo episódio de segurança tornado público em menos de três meses.

O caso também chega dias depois do ataque à corretora Bitget, que o KriptoHoje vem acompanhando na editoria de Segurança.

Linha do tempo: o histórico de incidentes da MetaMask

A MetaMask foi lançada em 2016 dentro da Consensys, empresa criada por Joseph Lubin, um dos cofundadores do Ethereum. Abaixo, os episódios de segurança, privacidade, infraestrutura e regulação que marcaram a carteira, com a fonte de cada um. Lançamentos de produto e mudanças na empresa aparecem quando ajudam a entender o incidente atual.

O que o histórico mostra

Lidos em conjunto, os 22 registros formam um padrão. Cinco tratam de infraestrutura, dois de fornecedores e três de lojas de aplicativos. Outros três são golpes aplicados diretamente contra usuários. Nas falhas de software, nenhuma das fontes consultadas registra perda de fundos.

Em outras palavras, entre os casos reunidos aqui, não há perda em massa de fundos provocada por defeito no código da carteira. Os problemas se concentram ao redor dela: no provedor que a conecta à rede, em fornecedores, em lojas de aplicativos e, sobretudo, na engenharia social contra quem a usa.

O incidente desta semana cabe nesse padrão e, ao mesmo tempo, o amplia. A MetaMask deixou de ser apenas uma extensão de navegador. Opera validadores e, segundo a Fortune, oferece conta com cartão, contratos perpétuos, mercados de previsão e stablecoin. Em 2026, lançou ainda uma conta com rendimento em stablecoin e uma carteira para agentes de inteligência artificial. Cada serviço novo é uma superfície a mais para defender, e uma parte crescente dela está em servidores da empresa e de terceiros, não no dispositivo do usuário.

Para quem pratica autocustódia, a distinção importa. As chaves que controlam os fundos continuam com o usuário, e é isso que a nota da empresa procura lembrar. Mas a experiência de uso depende de uma cadeia de serviços centralizados que pode falhar, sair do ar ou ser atacada. O histórico mostra que é nessa cadeia, e não na criptografia da carteira, que os problemas costumam aparecer.

Perguntas frequentes sobre o incidente da MetaMask

A MetaMask foi hackeada?

A empresa confirmou um incidente de segurança em andamento em parte de sua infraestrutura, e a Lido descreveu o caso como um comprometimento de infraestrutura. Nenhuma das duas explicou o que foi atingido nem como. Até o fechamento desta apuração, não havia relato oficial de furto de fundos.

Meus fundos na MetaMask estão em risco?

Segundo a empresa, nenhuma ameaça imediata às carteiras foi identificada. A investigação continua, e a recomendação é acompanhar os canais oficiais e desconfiar de qualquer mensagem que peça a frase de recuperação.

Tenho stETH. Preciso fazer alguma coisa?

Não, de acordo com a Lido. O ETH dos validadores retirados volta ao protocolo e é redistribuído. O efeito esperado é a perda temporária das recompensas que esses validadores gerariam.

O que é slashing?

É a punição que o Ethereum aplica a validadores que violam regras do consenso, como assinar duas mensagens conflitantes. O validador é expulso da rede e perde parte do ETH depositado.

Quanto tempo leva para a situação se normalizar?

A Lido estima a saída dos últimos validadores até 7 de outubro de 2026 e o retorno completo do ETH ao protocolo em até cerca de 45 dias. A MetaMask não informou prazo para concluir a investigação.

Há relação com o caso do contratado ligado à Coreia do Norte?

Não há indicação pública de relação entre os dois episódios.