MetaMask bắt đầu rút 17,000 validator sau vụ trộm phần thưởng ETH trị giá $1.4B

Sau một sự cố bảo mật, MetaMask, gã khổng lồ ví tiền điện tử, đã bắt đầu “chủ động” rút 17,000 validator Ethereum bị ảnh hưởng, một nhóm nắm giữ hơn 523,000 ETH đã đặt cọc (trị giá $1.4 billion).

Theo công ty, không có “mối đe dọa tức thời” nào đối với các ví của họ, vấn đề chỉ giới hạn trong “hoạt động đặt cọc không lưu ký” của họ.

Cho đến nay, MetaMask chưa công bố thêm thông tin nào, nhưng thông báo đáng lo ngại này đã khiến những người khác tìm hiểu xem vụ vi phạm lan rộng đến đâu.

Cập nhật bảo mật: Chúng tôi đang ứng phó với một sự cố bảo mật ảnh hưởng đến một phần cơ sở hạ tầng của chúng tôi.

Tại thời điểm này, chúng tôi đã xác định không có mối đe dọa tức thời nào đối với các ví MetaMask.

Như một biện pháp phòng ngừa, chúng tôi đang chủ động rút các validator bị ảnh hưởng trong hoạt động đặt cọc không lưu ký của mình,…

— MetaMask (@MetaMask) September 30, 2026

0xKaden, một nhà nghiên cứu bảo mật tại Spearbit và Cantina, đã đăng một phân tích trên X nói rằng phần thưởng khối từ 18 validator MetaMask đã “không được trả cho người nhận phí chính xác mà thay vào đó được gửi đến tài khoản được tài trợ bởi tornado [Cash] này.”

Địa chỉ đó, vẫn chưa thực hiện bất kỳ giao dịch nào, nắm giữ 0.46 ETH, trong đó 0.1 ETH đến từ Tornado Cash, trình trộn tiền điện tử.

Tài khoản này đã nhận 18 chuyển ETH đến (phần thưởng khối) từ Titan Relay: Forwarder, với tổng giá trị dưới $1,000.

Nhà nghiên cứu on-chain Emmett Gallic nhận thấy một động thái lớn 133,300 ETH từ các ví được gắn thẻ “Lubin/ConSensys,” trị giá $360 million, xảy ra vài giờ trước thông báo của MetaMask, nhưng không có gì cho thấy giao dịch chuyển này đáng ngờ.

sau một số cuộc điều tra onchain, tôi nghĩ đây là những gì đã xảy ra:

19 validator metamask đã giành được phần thưởng khối, và 18 trong số các phần thưởng đó không được trả cho người nhận phí chính xác mà thay vào đó được gửi đến tài khoản được tài trợ bởi tornado này: 0x98B9231de84334c1d48BA0b72CF13f92484924A3

~17k validator… https://t.co/qAlfkVNUW1

— kaden.eth (@0xKaden) October 1, 2026

Sự kiện này rất giống với khoản lỗ $41 million mà Kiln phải chịu trong hoạt động đặt cọc SOL của mình vào tháng 9 năm ngoái.

Vào thời điểm đó, Kiln cũng đã rút tất cả validator ETH đang hoạt động và xoay các khóa ký của mình, coi tất cả các hoạt động liên quan là “có khả năng bị xâm phạm.”

Lộ mặt

Vào tháng 7, Drop Site News đưa tin rằng ConsenSys — nhà phát triển của MetaMask, công ty đã đổi thương hiệu thành cả MetaMask và ConsenSys vào đầu tháng 9 — “vô tình thuê một nhà phát triển phần mềm có liên quan đến Bắc Triều Tiên… làm cố vấn.”

Tuy nhiên, báo cáo không ngụ ý rằng cố vấn, người đã được tuyển dụng trong khoảng một tháng, có bất kỳ mối liên hệ nào với các hoạt động đặt cọc bị ảnh hưởng.

Rút cọc

Các hành động của MetaMask đã đẩy hàng đợi rút đặt cọc Ethereum lên mức cao nhất trong năm.

Hàng đợi rút tăng vọt từ khoảng 200,000 ETH vào thứ Tư lên hơn 700,000 ETH vào thứ Năm, kéo dài thời gian chờ rút từ ba ngày rưỡi lên gần hai tuần.

Lido, một nhà cung cấp đặt cọc thanh khoản, dự đoán rằng ETH của MetaMask sẽ được đặt cọc lại sau "chu kỳ rút, rút tiền và nhập lại của validator, được ước tính mất khoảng tối đa 45 ngày do hàng đợi nhập kéo dài."