News
MetaMask reagiert auf Sicherheitsvorfall: Tausende Ethereum-Validatoren werden vorsorglich abgezogen
Von KryptoRatgeber · veröffentlicht 01. Oktober 2026
Laut übereinstimmenden Berichten von CoinDesk und Cointelegraph hat die Krypto-Wallet MetaMask am 1. Oktober 2026 auf einen Sicherheitsvorfall in Teilen seiner Staking-Infrastruktur reagiert und Tausende von Ethereum-Validatoren — also die Rechenknoten, die neue Blöcke bestätigen und dafür Belohnungen erhalten — vorsorglich aus dem Betrieb zurückgezogen. Nutzerfonds wurden dabei nach aktuellem Stand nicht gestohlen, doch wer sein ETH über MetaMask gestakt hat, muss nun mit einem wochenlangen Ausfall der Staking-Erträge rechnen.
Umgeleitete Block-Prämien, abgezogene Validatoren: Was genau passierte
Der konkrete Auslöser war vergleichsweise klein: Laut einem Bericht von CoinDesk stellte der Ethereum-Sicherheitsforscher Kaden fest, dass 18 von 19 MetaMask-betriebenen Validatoren ihre sogenannten Block-Produktionszahlungen — kleine Prämien, die ein Validator erhält, wenn er einen neuen Block erstellt — an eine unerwartete, fremde Adresse schickten. Der Schaden: rund 0,36 ETH umgeleitet. Nutzerfonds blieben unangetastet.
Die eigentliche Dimension des Vorfalls liegt jedoch im Ausmaß der Gegenmaßnahmen. Kaden schätzte, dass MetaMask daraufhin rund 17.000 Validatoren mit einem Gesamtstake von etwa 523.000 ETH vorsorglich abzog — Zahlen, die MetaMask laut CoinDesk bis zum 2. Oktober 2026 nicht offiziell bestätigte.
Lido Finance, über dessen Protokoll MetaMask das Staking abwickelt, teilte laut Cointelegraph mit, dass die letzten betroffenen Validatoren bis Ende des 7. Oktober 2026 den Exit abschließen sollen. Der vollständige Zyklus — Austritt, Auszahlung, Wiedereintritt — könne aufgrund der Ethereum-Eintrittswarteschlange bis zu rund 45 Tage dauern. Ein Slashing — eine Protokoll-Strafe, bei der ein Teil des gestakten ETH vernichtet wird — fand laut beiden Medien nicht statt.
Wenn der Schutzschalter greift: Was der Vorfall über delegiertes Staking verrät
Der Vorfall illustriert eine Eigenheit des Ethereum-Stakings, die vielen Nutzern nicht bewusst ist: Wer sein ETH über einen Dienstleister wie MetaMask stakt, gibt die Kontrolle über den Validator-Betrieb ab — behält aber die Kontrolle über seine eigentlichen Coins. Diese Trennung hat MetaMask hier gerettet: Die Infrastruktur war kompromittiert, die Nutzerfonds blieben unangetastet.
Der eigentliche Schaden ist subtiler — und deshalb lehrreich. Nach der Schätzung des Sicherheitsforschers Kaden könnten rund 17.000 Validatoren betroffen sein, was MetaMask bis dato nicht bestätigt hat. Unabhängig von der genauen Zahl gilt: Wer gestakte ETH jetzt zurückziehen will oder muss, wartet bis zu 45 Tage — nicht wegen einer Sperrfrist des Anbieters, sondern weil Ethereum selbst eine Eintrittswarteschlange für neue Validatoren hat. Der Engpass ist im Protokoll eingebaut, nicht beim Unternehmen. Das ist ein wichtiger Unterschied, wenn man Verantwortlichkeiten bewertet.
Für deutsche Nutzer ergibt sich daraus eine praktische Faustregel: Delegiertes Staking — also das Übergeben der Validator-Aufgabe an einen Dritten — eliminiert technischen Aufwand, schafft aber eine neue Abhängigkeit: die operative Verlässlichkeit des Betreibers. Ein Sicherheitsvorfall beim Betreiber kann keine Coins vernichten, aber Erträge blockieren und Liquidität für Wochen einfrieren.
Das Positive: MetaMask hat offenbar früh reagiert, bevor größerer Schaden entstehen konnte. Wie genau der Angreifer die Block-Produktionszahlungen umleiten konnte, ist noch ungeklärt — und diese Antwort wird entscheidend sein, um das Restrisiko einzuschätzen.
Warum Staking-Infrastruktur und Nutzergelder getrennt sind
Wer sein ETH stakt — also der Blockchain als Sicherheitseinlage zur Verfügung stellt, um Transaktionen mitzubestätigen und dafür Belohnungen zu kassieren —, gibt die direkte Kontrolle über seine Coins dabei nicht zwingend auf. Ethereum trennt technisch zwischen dem eigentlichen Guthaben und dem Betrieb des Validators, also der Software, die aktiv an der Blockerstellung teilnimmt.
MetaMask nutzte in diesem Fall Lido Finance als Protokollschicht — ein sogenanntes Liquid-Staking-Protokoll, das gestaktes ETH in den handelbaren Token stETH umwandelt. Die Infrastruktur, auf der die Validatoren liefen, gehörte zu MetaMask; die Einlagen der Nutzer blieben davon formal getrennt. Genau diese Konstruktion erklärt, warum der Vorfall zwar den Betrieb der Validatoren traf, aber keine direkte Bedrohung für die Guthaben der Wallet-Nutzer darstellte — zumindest nach aktuellem Erkenntnisstand.
Häufige Fragen
Sind meine ETH oder mein stETH in Gefahr?
Nein — laut übereinstimmenden Berichten von CoinDesk und Cointelegraph sind Nutzerfonds nicht betroffen. Der Vorfall spielte sich ausschließlich auf der Infrastrukturebene ab, also dort, wo MetaMask die Validatoren technisch betreibt. Die eigentlichen Einlagen der Nutzer liegen davon getrennt verwahrt. Wer stETH hält — den Token, den Lido als Nachweis für gestaktes ETH ausgibt — muss laut Lido selbst keine Maßnahmen ergreifen.
Was bedeutet der Exit für meine Staking-Belohnungen?
Validatoren, die nicht aktiv am Netzwerk teilnehmen, verdienen keine Belohnungen. Sobald die betroffenen Validatoren aus dem Betrieb abgezogen sind und neu eintreten wollen, müssen sie in der Warteschlange anstehen, die das Ethereum-Netzwerk selbst vorgibt — dieser Prozess kann laut Medienberichten bis zu etwa 45 Tage dauern. In dieser Zeit entgehen betroffenen Nutzern die üblichen Staking-Erträge, ohne dass dabei Kapital verloren geht.