A MetaMask confirmou que invasores desviaram recompensas de staking em Ethereum após alterar endereços de pagamento. O episódio, divulgado em detalhes em 5 de novembro, ocorre poucos dias depois de a Binance relatar um ataque de bilhões de dólares e expõe uma questão comum às duas operações: a segurança das carteiras depende também dos sistemas que administram pagamentos e autorizam transações.
O ataque à MetaMask não resultou, segundo a empresa, no roubo dos valores principais depositados pelos clientes nem no comprometimento de suas carteiras. O invasor conseguiu, porém, modificar temporariamente os endereços utilizados para receber determinadas recompensas dos validadores da rede Ethereum. Cerca de 0,385 ETH foram desviados antes que a alteração fosse identificada e corrigida. O montante é pequeno diante das cifras normalmente associadas a ataques contra plataformas de criptoativos, mas o caminho percorrido pelo invasor é tão relevante quanto o prejuízo divulgado.
A MetaMask identificou o acesso não autorizado em 28 de setembro de 2026. Dois dias depois, comunicou publicamente que investigava um incidente em parte de sua infraestrutura e que havia iniciado, por precaução, a retirada de validadores de suas operações de staking. Naquele momento, não explicou qual componente havia sido atingido. A atualização publicada em 5 de novembro esclareceu que o atacante alcançou a infraestrutura na qual eram armazenados centralmente os endereços de recebimento das recompensas da camada de execução do Ethereum.
Essa diferença é essencial para compreender o incidente. O staking permite que participantes depositem ETH e operem validadores que ajudam a manter a rede. Parte da remuneração desses validadores é paga a um endereço de destinatário configurado para receber taxas e outras recompensas da camada de execução. Esse endereço não equivale, necessariamente, à chave que permite retirar o ETH originalmente depositado. Ao modificar o destinatário das recompensas, um invasor pode capturar esses pagamentos sem obter controle sobre o principal mantido em staking.
Foi essa separação que, segundo a MetaMask, protegeu os ativos principais dos clientes. A companhia afirma não controlar as chaves de retirada dos valores depositados em seu serviço não custodial e não ter encontrado indícios de que essas chaves, as chaves privadas das carteiras ou as frases secretas de recuperação tenham sido comprometidas. Também informou que o acesso indevido foi contido e que os sistemas afetados foram protegidos. Ainda não apresentou, entretanto, uma descrição pública da origem do acesso, das credenciais envolvidas ou de eventual vulnerabilidade explorada.
O custo da contenção foi maior do que o valor desviado
Para reduzir a exposição enquanto investigava o incidente, a MetaMask determinou a saída preventiva dos validadores afetados. A empresa confirmou posteriormente que todos concluíram esse processo sem novos incidentes. A decisão preservou a cautela operacional, mas trouxe consequências para alguns clientes: atrasos temporários na disponibilização de saques e a possibilidade de recompensas não recebidas durante a retirada ou enquanto os validadores aguardavam reativação.
Na rede Ethereum, a saída de um validador e a liberação dos valores para retirada são etapas distintas. Encerrar sua participação na validação não torna o ETH imediatamente disponível e, durante a transição, a atividade deixa de gerar a remuneração que poderia ser obtida em condições normais. Por isso, o impacto financeiro de uma resposta preventiva não se resume ao valor efetivamente desviado. A MetaMask informou que trabalha diretamente com os clientes e parceiros afetados para tratar os prejuízos pendentes.
Há outro aspecto relevante: a operação de staking era não custodial, mas parte de sua administração dependia de registros centralizados. Isso não representa, por si só, uma falha de arquitetura. Serviços financeiros precisam manter sistemas de gestão, configurações e automação. O risco aparece quando uma alteração indevida nesses componentes consegue modificar o destino econômico de uma operação. A proteção criptográfica do ativo principal pode permanecer intacta, enquanto um sistema administrativo exposto permite desviar receitas.
O que aproxima o caso da MetaMask do ataque à Binance
A divulgação dos detalhes da MetaMask veio na mesma semana em que a Binance apresentou seu relatório preliminar sobre o ataque de 29 de outubro. A diferença de escala é expressiva: enquanto a MetaMask registrou o desvio de aproximadamente 0,385 ETH em recompensas, a Binance informou que cerca de US$ 6,34 bilhões em ativos digitais foram afetados. Na atualização de 3 de novembro, a corretora afirmou ter congelado ou interceptado aproximadamente US$ 2,85 bilhões e estar recompondo os ativos dos clientes com recursos próprios. Esses números descrevem situações distintas e não devem ser tratados como perdas líquidas diretamente comparáveis.
O relatório da Binance descreve uma cadeia de comprometimento muito mais extensa. Segundo a investigação preliminar da empresa, o atacante explorou uma falsa oportunidade de emprego para convencer um engenheiro a executar um repositório de código malicioso. O comprometimento da estação de trabalho abriu caminho para movimentações laterais, inclusive por meio de uma ferramenta interna de inteligência artificial. Credenciais e um token com permissão de implantação de contêineres ajudaram a alcançar componentes usados nas operações de carteiras.
O acesso culminou no uso indevido de um serviço interno de assinatura de transações, que permitiu movimentações fora do fluxo normal de saques. A Binance relatou ainda a exploração do mecanismo de autorização EIP-7702 do Ethereum para delegar capacidades de execução a um contrato controlado pelo invasor. Essas autorizações continuaram produzindo efeitos na blockchain mesmo após a suspensão dos saques na plataforma, exigindo medidas específicas de revogação. O uso de carteiras com computação multipartidária, ou MPC, acrescentou complexidade à resposta, pois não havia uma única chave privada disponível para desfazer imediatamente as delegações.
É justamente aí que os dois episódios se encontram, sem que isso signifique uma ligação entre os ataques. Na MetaMask, a alteração de um registro administrativo mudou o destino de recompensas. Na Binance, o controle indevido de componentes internos permitiu emitir transações e estabelecer autorizações que ultrapassaram o processo habitual de retirada. Em ambos, os controles sobre os sistemas que operam ao redor dos ativos tiveram papel decisivo. As técnicas, o alcance, a infraestrutura atingida e os resultados, contudo, foram diferentes. Não há evidências públicas de autoria comum ou de que os incidentes façam parte da mesma campanha.
A Binance atribuiu o episódio, com base em informações que disse terem sido divulgadas pelo FBI, à Coreia do Norte. Essa atribuição pertence ao caso Binance e não pode ser estendida ao ataque contra a MetaMask. A investigação da MetaMask, por sua vez, ainda não trouxe elementos públicos suficientes para identificar os responsáveis ou reconstruir o acesso inicial.
O que as empresas precisam observar nesses ambientes
Para plataformas de staking, corretoras, custodiantes e empresas que integram serviços de blockchain, a análise não pode se limitar à pergunta sobre a segurança das chaves privadas. É necessário verificar quem pode alterar endereços de recebimento, aprovar novas instruções de pagamento, modificar políticas de assinatura, implantar serviços ou conceder permissões a contratos inteligentes. Uma credencial administrativa ou um token de implantação com privilégios excessivos pode oferecer ao invasor caminhos que não passam pela extração direta de uma chave.
O tratamento desses riscos começa por controles verificáveis: segregação entre quem solicita e quem aprova alterações sensíveis; validação independente de endereços de pagamento; restrição e rotação de credenciais; proteção das estações de trabalho de desenvolvedores e operadores; e monitoramento de mudanças em políticas de assinatura e autorizações on-chain. Também é importante testar procedimentos de emergência capazes de revogar permissões já concedidas, inclusive quando uma simples suspensão de saques não interrompe operações previamente autorizadas.
Essas recomendações decorrem da análise dos mecanismos descritos nos dois incidentes. Não significam que a MetaMask ou a Binance tenham deixado de implementar todos esses controles. A Binance divulgou parte das medidas de contenção e reconstrução adotadas; a MetaMask, até agora, apresentou menos detalhes sobre a origem do acesso indevido.
Para os usuários da carteira MetaMask que não participavam das operações de staking afetadas, a empresa afirma não haver necessidade de ação específica relacionada ao incidente. Os clientes diretamente envolvidos devem seguir as orientações recebidas do serviço ou de seu provedor de staking. Em ambos os casos, permanece válida a cautela contra mensagens que se aproveitam de notícias sobre ataques para solicitar frases de recuperação ou chaves privadas.
Os dois episódios deixam uma distinção importante para quem avalia a segurança de serviços financeiros digitais: proteger a chave que guarda o patrimônio é indispensável, mas a operação cotidiana depende de outros sistemas capazes de alterar destinos de pagamento, autorizações e transações. A diferença entre perder uma pequena parcela de recompensas e enfrentar movimentações bilionárias não está apenas no valor armazenado. Está também no alcance dos privilégios que um invasor consegue obter e no tempo necessário para interromper seus efeitos.
Referências
- MetaMask user update on recent security incident
- 29 October 2026 Binance Security Incident: Initial Findings and Response Update
- MetaMask says recent attack didn’t affect wallet infrastructure
Be the first to comment