MetaMask 爆出一宗與以太坊質押有關的基礎設施安全事件，但這次出問題的並不是一般用戶日常使用的 MetaMask 錢包，而是背後負責以太坊質押服務的驗證者基礎設施（validator infrastructure）。
MetaMask 9 月 30 日證實，公司正在處理一宗影響「部分基礎設施」的持續安全事件，目前已與外部合作夥伴及資安顧問共同調查。官方同時強調，截至目前並未發現 MetaMask 錢包面臨立即威脅；但基於風險控制考量，MetaMask 已開始退出旗下非託管質押服務中受影響的以太坊驗證者。
Lido 隨後確認，MetaMask Staking，也就是原本的 Consensys Staking，已開始退出其在 Lido 協議中營運的驗證者。最後一批受影響驗證者預計在 10 月 7 日前完成退出；但由於 ETH 之後還需要經過提款、重新排隊及重新啟用驗證者等流程，完整恢復質押的時間最長可能接近 45 天。
MetaMask 錢包沒事，為什麼驗證者還是要全部退出？
關鍵在於，錢包私鑰與驗證者簽名金鑰不是同一套東西。
MetaMask 錢包屬於自我託管工具，用戶自己掌握錢包私鑰；但 MetaMask 的質押服務，則需要替用戶實際營運以太坊驗證節點，包括節點伺服器、驗證者簽名系統，以及相關雲端與部署基礎設施。
MetaMask 官方文件指出，當用戶投入 32 ETH 建立驗證者後，日常的節點與驗證工作會由其質押基礎設施負責。因此，即使攻擊者完全沒有碰到一般 MetaMask 用戶的錢包私鑰，只要 MetaMask 無法排除驗證者簽名金鑰、遠端簽名系統、雲端帳號、部署環境或其他生產系統曾被接觸，就不能放心讓原本的驗證者繼續運作。這也是為什麼「MetaMask 錢包沒有被駭」與「必須退出驗證者」兩件事並不矛盾。
真正怕的不是 ETH 被直接偷走，而是遭到削減懲罰
以太坊驗證者有兩類非常重要的金鑰。
- 第一類是提款憑證（withdrawal credentials），決定質押 ETH 最終可以提領到哪個地址。
- 第二類是驗證者簽名金鑰（validator signing key），用來執行日常驗證工作，例如區塊證明與區塊提議。
MetaMask 特別強調，其非託管質押服務不掌握客戶的提款金鑰。因此，即使驗證者基礎設施遭到入侵，也不代表攻擊者可以直接把用戶質押的 ETH 提走。
但如果驗證者簽名金鑰外洩，風險仍然很大。例如，攻擊者若在另一台機器上使用同一把驗證者金鑰，與合法節點同時簽署互相衝突的資料，就可能觸發以太坊的削減懲罰（slashing）。一旦發生削減，驗證者所質押的 ETH 可能真的受到損失。只要無法完全排除簽名金鑰或相關系統曾被接觸，最保守的做法就是先把相關驗證者退出。
為什麼不能直接換一把金鑰就好？
這也是這次事件最容易讓人疑惑的地方。
一般網站如果發現 API 金鑰或密碼可能外洩，通常可以直接：撤銷舊金鑰 → 換新金鑰 → 繼續運作。
但以太坊驗證者並不是這麼簡單。驗證者一旦建立後，其簽名金鑰不能像一般密碼一樣，在保持原驗證者身分的情況下隨時替換。如果要徹底排除「舊簽名金鑰可能已經被複製」的風險，最乾淨的做法通常是：「退出舊驗證者 → 等待 ETH 可提款 → 重建乾淨的基礎設施 → 建立全新的驗證者金鑰 → 再把 ETH 重新投入質押」
這也是為什麼一次基礎設施安全事件，會演變成大規模退出驗證者，而不是單純把伺服器重新開機。
為什麼要整批退出，而不是只退部分？
原因在於資安事件剛發生時，最難確認的通常不是「有沒有出事」，而是到底哪些系統曾被攻擊者碰過。
目前 MetaMask 尚未公布完整的根本原因，也沒有公開證實驗證者簽名金鑰已經遭竊。但如果同一批驗證者共用部分雲端帳號、部署流程、遠端簽名服務或密鑰管理系統，那麼在調查尚未完成前，很難精準判定哪些金鑰「一定安全」、哪些可能受到影響。
所以，對專業質押服務商而言，最保守的處理方式通常是只要屬於受影響基礎設施範圍，就先退出，再重新建立。需要注意的是，MetaMask 官方用詞是「受影響的驗證者」，並沒有明確表示全球所有 MetaMask 質押驗證者都被全部退出。
10 月 7 日就退出完成，為什麼又要 45 天？
因為「退出驗證者」和「重新開始賺取質押收益」中間還有很多步驟。
完整流程大致如下：
- 驗證者提出退出
- → 等待退出排隊
- → 正式退出
- → ETH 變成可提款
- → 資金重新回到質押池
- → 排隊建立新的驗證者
- → 新驗證者啟用
- → 再次開始產生質押收益
Lido 表示，最後一批受影響驗證者預計在 10 月 7 日前完成退出；但 ETH 重新進入質押系統後，還要面對目前相當擁擠的以太坊驗證者進場排隊，因此完整週期最長可能接近 45 天。
截至 10 月 1 日，beaconcha.in 顯示，以太坊目前約有：
- 157.8 萬枚 ETH 等待進入質押，預估排隊時間約 27.4 天；
- 57.6 萬枚 ETH 等待退出，預估約需 10 天。
從驗證者開始排隊退出，到 ETH 可以正式提款，整體估計約需 11 天左右。另一項即時統計顯示，目前以太坊約有 4,370 萬枚 ETH 處於質押狀態，占總供應量約 35.8%，質押年化報酬率約 2.64% 。
受影響驗證者在退出並重新建立期間，確實會有一段時間無法正常產生完整質押收益，因此 Lido 整體可能出現一定程度的收益損失。
如果驗證者在正式退出前就先停止運作，期間還可能出現少量離線懲罰（downtime penalty）。但這不代表所有 MetaMask 用戶的 ETH 都停賺 45 天，也不代表所有 stETH 持有人停止獲得收益。
Lido 是一個共同質押池，資金分散給多個不同的節點營運商。 MetaMask Staking 只是其中一個節點營運商，因此這次退出主要會影響該營運商負責的驗證者，而不是整個 Lido 系統。
Lido 已表示，stETH 持有人不需要採取任何額外操作。目前 Lido 在以太坊上的總鎖倉價值仍約 265 億美元。
Lido 有緩衝機制，降低單一營運商退出衝擊
Lido 表示，協議本身採用多個節點營運商分散運作，因此單一營運商退出部分驗證者，不至於直接讓整個質押系統停擺。 Lido 同時準備了超過 6,750 枚 stETH 的臨時儲備，用來降低這次驗證者退出對整體系統造成的影響。
這也是流動性質押與自己單獨跑一台驗證者最大的差別。如果個人只有一台 32 ETH 驗證者，一旦退出，這 32 ETH 在重新進場前基本上就不會再產生正常的驗證者收益。但 Lido 是把大量 ETH 分配給多個不同營運商，因此某一個營運商暫時撤出，只會由整個質押池共同吸收影響。
截至 10 月 1 日，ETH 價格約 2,685 美元，市場並未因這次事件出現明顯恐慌。目前也沒有跡象顯示 stETH 因這次事件出現明顯價格脫鉤。
但真正的風險程度目前仍未完全確定，因為 MetaMask 尚未公布完整的事故根本原因。
免責聲明：本文只為提供市場訊息，所有內容及觀點僅供參考，不構成投資建議，不代表區塊客觀點和立場。投資者應自行決策與交易，對投資者交易形成的直接或間接損失，作者及區塊客將不承擔任何責任。
