MetaMask

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 1 ott 2026 Hack / furto di fondi Moderato ● aperto

   Incidente di sicurezza su «parte dell'infrastruttura»: MetaMask ritira in via precauzionale i validatori dallo staking non custodial, causa e vettore non dichiarati

   MetaMask ha dichiarato di essere «in corso di risposta a un incidente di sicurezza che riguarda parte della nostra infrastruttura». Le parole sono dell'aggiornamento ufficiale sul sito dell'azienda (metamask.io/news/user-update, pubblicato il 30 settembre 2026 e con ultima modifica l'1 ottobre alle 05:21 UTC), ripreso nella notte dall'account X verificato @MetaMask: «Stiamo affrontando e rimediando al problema internamente, in coordinamento con partner esterni e consulenti di sicurezza. A oggi non abbiamo individuato alcuna minaccia immediata per i wallet MetaMask. Come misura precauzionale stiamo uscendo in via proattiva dai validatori interessati all'interno delle nostre operazioni di staking non custodial». Cosa si sa, e cosa non si sa: MetaMask NON ha detto quale componente dell'infrastruttura sia stata compromessa, NON ha dichiarato il vettore, NON ha indicato quando l'intrusione sia iniziata e non risulta alcun CVE, alcun avviso di un produttore, alcun fornitore nominato. L'unica azione concreta annunciata è il ritiro dei validatori: i validatori interessati hanno iniziato la procedura di uscita e gli ultimi dovrebbero aver completato l'uscita — non il prelievo integrale — entro la fine del 7 ottobre 2026. Il perimetro, perché è la cosa che conta per chi usa il wallet: MetaMask è self-custody, le chiavi stanno sul dispositivo dell'utente, e l'azienda dichiara di non gestire le chiavi di prelievo dello stake per conto dei clienti. Quello che risulta toccato è l'infrastruttura dell'azienda e l'operazione di staking, non il wallet come tale. Il lato staking è stato confermato dall'altra parte: Lido ha preso atto che MetaMask Staking ha avviato «misure precauzionali per proteggere gli asset dei clienti» uscendo dai validatori del protocollo, e lo sviluppatore Will Shannon ha scritto che l'ETH uscito dai validatori gestiti da MetaMask Staking «dovrebbe rientrare nel protocollo gradualmente, man mano che i validatori completano il ciclo di uscita, prelievo e rientro, stimato fino a circa 45 giorni per via della coda di ingresso allungata». Per inquadrare la scala: secondo Cointelegraph MetaMask gestisce oltre 3 miliardi di dollari di ETH in staking. Nessuna perdita di fondi è stata dichiarata da nessuna delle parti, e per questo `importo_usd` resta vuoto: l'unico costo quantificabile citato dalle fonti sono i rendimenti mancati e le penalità di inattività sui validatori usciti. Il fatto è stato rilanciato anche da @CertiKAlert, che parla di «incidente di sicurezza che riguarda parte dell'infrastruttura di MetaMask» senza aggiungere dettagli propri. Resta aperto, e non è un dettaglio: finché la causa non è pubblica, chiunque usi lo stesso pezzo di infrastruttura non sa di doversi correggere. È lo stesso buco visto sul caso Bitget del 24 settembre, dove le indagini parlavano di un «Prodotto A» e un «Prodotto B» senza mai nominarli. **Aggiornamento del 2 ottobre 2026.** La pagina ufficiale è stata modificata l'ultima volta il **2 ottobre alle 01:01:34 UTC** e il linguaggio si è irrigidito in senso rassicurante: dove prima si leggeva «non abbiamo individuato alcuna minaccia immediata per i wallet», ora MetaMask scrive che «**non vi è alcuna indicazione che i wallet MetaMask o i fondi dei clienti siano stati coinvolti**». Su tutto il resto, invece, il comunicato è **identico a ieri**: nessuna causa, nessun vettore, nessuna indicazione su quali sistemi siano stati toccati, nessuna parola su un eventuale accesso a dati, nessun numero di validatori. Il perimetro dichiarato resta quello: incidente in corso su parte dell'infrastruttura, uscita precauzionale dei validatori, rimedio in coordinamento con partner esterni. Le cifre che circolano sulla stampa in queste ore — «17.000 validatori» e «1,4 miliardi di dollari» — **non provengono né da MetaMask né da Lido** e non sono riportate qui: per lo stesso motivo per cui `importo_usd` resta vuoto, un numero non dichiarato dalle parti non va in scheda.

   ↗ fonte

verificato il 2 ott 2026

Media ponderata sul numero di recensioni di 3 piattaforme pubbliche (562.687 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.