MetaMask（メタマスク）、セキュリティインシデントを受けバリデータからの撤退を開始

MetaMaskがバリデータから撤退を開始

暗号資産ウォレット大手のMetaMask（メタマスク）は、同社のインフラの一部に関連するセキュリティインシデントを特定したことを受け、Lido Finance（リドファイナンスまたはライドファイナンス）をはじめとするパートナーやセキュリティ・アドバイザーと連携し、影響を受けたイーサリアム（Ethereum）バリデータの撤退（アンステーク）手続きを開始した。

Security Update: We are responding to a security incident affecting part of our infrastructure.

At this time, we have identified no immediate threat to MetaMask wallets.

As a precaution, we are proactively exiting affected validators within our non-custodial staking operations, in coordination with clients, partners and security advisors.

We’ll share further updates as appropriate. https://t.co/0wmhnVFSIL

— MetaMask 🦊 (@MetaMask) September 30, 2026

今回の事態に関して、現時点でユーザーのウォレットに対する差し迫った脅威は確認されていないとされているが、業界全体や市場への影響を巡ってさまざまな分析や議論が行われている。

インフラの侵害発覚とLidoプロトコルでの対応

9月末、MetaMaskは同社のインフラの一部に影響をおよぼしているセキュリティインシデントを公表。これを受けて、以前はConsensys Staking（コンセンシス ステークキング）として知られていたMetaMask Staking（メタマスク・ステーキング）に関わるインフラ侵害について、イーサリアム向けの分散型リキッドステーキングプロトコルであるLidoがガバナンス・フォーラムを通じて明らかにした。

Lidoは、プロトコル内でのイーサリアム・バリデータの撤退を開始しており、対象となるバリデータは2026年10月7日までにアクティブなセットから除外される見込みだ。ただし、この10月7日という期限はあくまで「撤退（exit）」の段階を指すものであり、資金の「引き出し（withdrawal）」の完了を意味するものではない。

資産の回収プロセスと最大45日のタイムフレーム

イーサリアムのバリデータ参加待ち行列が長期化している影響もあり、撤退した資産が完全に手元に戻るまでにはかなりの時間を要する。Lidoによると、ETHがプロトコルに戻り再び運用されるまでの全プロセスには約45日かかる可能性があるとされている。

この移行期間中、バリデータの撤退に伴ってステーキング報酬の取りこぼしや、ダウンタイムによるペナルティが発生するリスクが指摘されている。MetaMaskが撤退完了前に影響を受けたバリデータをオフラインにする過程で、こうしたペナルティが科される可能性があり、Lidoはこれをバリデータ関連リスクへのエクスポージャーを低減するための措置と位置付けている。なお、現時点でスラッシング（不正行為等による資産没収）の発生は報告されていません。

また、運用上の混乱への備えとして、Lidoはステーキング・モジュール全体で600以上のオペレーターからなるネットワークや、6,750 stETH以上を保有する臨時予備基金の存在に言及している。

ユーザーウォレットへの影響とノンカストディアルの仕組み

MetaMaskは、今回の問題がユーザー向けのウォレット・サービスではなく、同社のバリデータ運用インフラに限定されたものであることを強調している。

同社のノンカストディアル（非預託型・非保管型）のステーキング運用では、ユーザーが自身で資産の管理権を保持しており、顧客がステーキングしたETHの出金用秘密鍵をMetaMask側が保有していない仕組みになっています。そのため、LidoのstETH保有者についても、プロトコル側が影響を受けたバリデータからのETH返還を管理するため、ユーザー側での特段の対応は不要と説明されている。

一方で、暗号資産界の一部著名人からは注意を呼びかける声も上がったものの、公式発表や他のセキュリティ関係者からはウォレットに対する直接的な脅威は確認されていないとの見解が示されている。

オンチェーン分析と市場・エコシステムへの波及

独立したオンチェーン分析によると、今回のインシデントに関連する被害額や流出額はごくわずかにとどまっていることが示唆されている。

研究者であるKaden（カデン）氏の分析では、MetaMaskのバリデータの一部がブロック報酬を獲得したものの、その大部分は本来の受取人ではなくミキサー経由の特定アドレスに送金されたと指摘されている。また、予防措置として約17,000件のバリデータ（約523,000 ETH相当）がネットワークから離脱させられたとの見方も示されている。

主要なレンディングプロトコルや関連プロジェクトへの影響についても確認が進められており、Aave（アーベ）の創設者であるスタニ・クレチョフ（Stani Kulechov）氏は、Lidoと連携して状況を監視しているものの、現時点で市場への悪影響は確認されていないと述べている。Ethena（エテナ）などのプロジェクト側からも、裏付け資産への直接的なリスクはないとする見解が示されている。

不透明な侵入経路と今後の調査

現時点において、攻撃者がどのようにしてアクセス権を得たのか、具体的にどのシステムがどのように侵害されたのかといった詳細な情報は公表されていない。MetaMaskは外部のセキュリティアドバイザーを交えて調査を継続しており、今回の事態がステーキングインフラの範囲を超えてどこまで影響をおよぼしているのかを含め、今後の公式なアップデートに注目が集まっている。