Lees je de woorden ‘beveiligingsincident’ en ‘wallet’ in één zin, dan schiet je hartslag waarschijnlijk even omhoog. Dat is begrijpelijk. MetaMask, een van de populairste wallets voor Ethereum, meldt een incident in de infrastructuur achter zijn staking-dienst en haalt daarom validators weg bij Lido. Het goede nieuws vooraf: volgens MetaMask is er geen directe dreiging voor de wallets van gebruikers. Wel kan het tot 45 dagen duren voordat de teruggetrokken ETH weer terug is.
Wat is er precies aan de hand?
MetaMask maakte eind september bekend dat het een probleem had ontdekt in de technische omgeving waarmee het validators draait. Validators zijn de computers die op Ethereum transacties controleren en nieuwe blokken toevoegen. Wie ETH vastzet om die validators te laten werken, krijgt daar een beloning voor. Dat heet staken.
Om geen enkel risico te lopen, besloot MetaMask de validators die het binnen Lido beheerde uit te schakelen. In een update voor gebruikers benadrukt het bedrijf dat de wallet zelf, de plek waar je munten staan, niet geraakt lijkt te zijn. Het gaat dus om de achterkant van de staking-dienst, niet om je persoonlijke sleutels.
Ook in een bericht op X liet MetaMask weten wat er speelde:
Waarom duurt terugkrijgen zo lang?
Die 45 dagen klinken lang, en dat zijn ze ook. Toch is er een logische reden. Je kunt het staken op Ethereum vergelijken met een parkeergarage met één slagboom. Iedereen die eruit wil, moet in de rij aansluiten. Is het druk, dan sta je langer te wachten. Ethereum laat bewust maar een beperkt aantal validators tegelijk vertrekken, zodat het netwerk stabiel blijft.
Daarbij komt dat deze uittreding niet volgens het gewone schema verloopt. Lido beschrijft het op zijn onderzoeksforum als een voorzorgsmaatregel waarbij validators buiten de normale volgorde om worden afgemeld. Er wordt dus ingegrepen voordat er iets misgaat, in plaats van achteraf.
Waarom Lido zo belangrijk is
Lido is een van de grootste partijen in het staken van Ethereum. Je zet daar ETH in en krijgt er een tegoedbewijs voor terug, stETH of de verpakte variant wstETH. Dat bewijs kun je weer gebruiken in andere DeFi-toepassingen. Op het leenplatform Aave is wstETH bijvoorbeeld een van de meest gebruikte onderpanden.
Lido draait die validators niet allemaal zelf. Het werkt met een reeks externe operators, en een van die partijen trekt zich nu terug. Dat verklaart ook waarom zo’n incident breder wordt gevolgd dan alleen door MetaMask-gebruikers: hoe veel van Ethereum is verweven met Lido, zie je pas goed op momenten als deze. Wil je eerst snappen hoe staken en validators in elkaar zitten, lees dan ook wat Ethereum is en hoe het werkt.
Wat merk je ervan als gebruiker?
Gebruik je MetaMask alleen om munten te bewaren of te versturen, dan verandert er volgens het bedrijf niets. Heb je via de staking-functie van MetaMask ETH vastgezet, dan is het vooral een kwestie van wachten. Je geld is niet weg, het staat in de rij om terug te komen.
Natuurlijk voelt dat ongemakkelijk. Niemand ziet zijn geld graag weken onbereikbaar. Het is wel goed om te weten dat ingrijpen voordat er schade is, precies is wat je van een serieuze partij mag verwachten. Welke kwetsbaarheid er precies achter het incident zat, heeft MetaMask nog niet in detail toegelicht. Juist die uitleg wordt de komende weken belangrijk, net als de vraag of MetaMask zijn validators later weer bij Lido onderbrengt.
