MetaMask mengungkap bahwa pelaku mengalihkan sekitar 0,385 ETH dari imbalan staking Ethereum setelah memperoleh akses tanpa izin ke sebagian infrastrukturnya. Dalam pembaruan pada 5 November 2026, perusahaan menyatakan belum menemukan indikasi bahwa dompet kripto MetaMask atau infrastruktur dompetnya ikut disusupi.
Pelaku mengubah alamat penerima imbalan staking
MetaMask mendeteksi insiden pada 28 September 2026 dan pertama kali mengumumkannya dua hari kemudian. Pelaku mengakses sistem yang menyimpan alamat penerima imbalan dan sempat mengganti alamat tujuan pada sejumlah validator. Perubahan itu mengalihkan imbalan dari lapisan eksekusi Ethereum ke alamat lain. MetaMask menyebut pengalihan tersebut terdeteksi dan ditangani pada hari yang sama.
MetaMask menyatakan belum menemukan bukti bahwa pelaku memperoleh akses ke pokok ETH yang ditempatkan pelanggan dalam staking atau ke kunci penarikannya. Pelanggan memegang sendiri kunci penarikan tersebut. Menurut perusahaan, frasa pemulihan rahasia dan kunci privat pengguna dompet juga tetap terlindungi.
Penghentian validator menunda penarikan sebagian pelanggan
Sebagai langkah pencegahan, MetaMask Staking menarik seluruh validator yang terdampak dari jaringan Ethereum. Keluarnya validator dan penarikan ETH berlangsung melalui proses terpisah. Akibatnya, sebagian pelanggan mengalami penundaan sementara untuk menarik ETH. Mereka juga berpotensi melewatkan imbalan selama validator keluar atau menunggu aktivasi kembali.
MetaMask menyatakan telah mengamankan sistem yang terdampak dan sedang bekerja sama dengan pelanggan serta mitra untuk menangani dampak yang tersisa. Pengguna dompet MetaMask tidak perlu mengambil tindakan terkait insiden ini. Pelanggan staking yang terdampak diminta mengikuti arahan langsung dari MetaMask atau penyedia staking mereka.
Sumber: MetaMask – MetaMask user update on recent security incident
