MetaMask meldet Sicherheitsvorfall und verlässt betroffene Validatoren

MetaMask hat am 1. Oktober 2026 einen laufenden Sicherheitsvorfall gemeldet, der Teile der eigenen Infrastruktur betrifft. Als Reaktion zieht das Unternehmen sich aus betroffenen Validatoren seines Staking-Betriebs zurück. Für Wallet-Nutzer gibt MetaMask Entwarnung — mit einer Formulierung, die genau hinzusehen lohnt.

Was bekannt ist

MetaMask spricht von einem laufenden Vorfall („ongoing security incident“), der einen Teil der Infrastruktur betrifft. Die Aufarbeitung läuft intern und gemeinsam mit externen Partnern, Kunden und Partner werden koordiniert informiert.

Die sichtbarste Maßnahme: Im Non-Custodial-Staking steigt MetaMask proaktiv aus den betroffenen Validatoren aus. „Proaktiv“ heißt hier, dass der Schritt vorsorglich erfolgt, nicht als Reaktion auf einen festgestellten Verlust.

Zur Entwarnung schreibt das Unternehmen, man habe „derzeit keine unmittelbare Bedrohung für MetaMask-Wallets identifiziert“.

Was diese Formulierung bedeutet

Der Satz ist präzise — und genau deshalb sollte man ihn nicht als Vollentwarnung lesen. „Derzeit keine unmittelbare Bedrohung identifiziert“ ist eine Aussage über den aktuellen Erkenntnisstand, nicht über das Ergebnis einer abgeschlossenen Untersuchung. Bei einem laufenden Vorfall ist das die korrekte und ehrliche Formulierung; sie ist aber etwas anderes als „Wallets sind nicht betroffen“.

Technisch gibt es einen realen Grund für Zuversicht: MetaMask betont, dass das Staking non-custodial ist — das Unternehmen verwahrt keine Withdrawal-Keys der Nutzer. Wer die Schlüssel nicht hat, kann sie auch nicht verlieren. Das ist der entscheidende strukturelle Unterschied zu zentralen Verwahrern, bei denen ein Infrastrukturvorfall unmittelbar Kundenguthaben betrifft.

Was offen bleibt

Die Meldung lässt wesentliche Fragen unbeantwortet:

• Welcher Teil der Infrastruktur ist betroffen?
• Wie viele Nutzer sind berührt? Konkrete Zahlen nennt MetaMask nicht.
• Welche Daten könnten abgeflossen sein?
• Wie kam es dazu? Zur Ursache gibt es keine Angaben.

Das ist bei einem laufenden Vorfall nicht ungewöhnlich — Details werden üblicherweise erst nach der Aufarbeitung veröffentlicht. Für Betroffene ist es trotzdem unbefriedigend, weil sich ohne diese Angaben das eigene Risiko kaum einschätzen lässt.

Was Nutzer jetzt tun sollten

MetaMask gibt keine expliziten Handlungsempfehlungen, weil die Wallets nach eigener Einschätzung nicht gefährdet sind. Unabhängig davon gilt bei jeder Meldung dieser Art:

• Seed Phrase niemals eingeben — auf keiner Seite, in keinem Formular, bei keinem Support. Ein Vorfall beim Anbieter ändert daran nichts. Legitimer Support fragt nie danach.
• Mit Phishing rechnen. Nach jeder öffentlichen Sicherheitsmeldung folgen Wellen gefälschter Warnmails und ‑seiten, die genau diese Verunsicherung ausnutzen und zur „Sicherung“ der Wallet auffordern.
• Nur offizielle Kanäle nutzen. Statusmeldungen direkt bei MetaMask prüfen, nicht über Links aus E-Mails, Discord oder sozialen Netzwerken.
• Erteilte Freigaben prüfen. Alte Token-Approvals an Verträge, die man nicht mehr nutzt, gehören ohnehin regelmäßig entzogen — unabhängig von diesem Vorfall.
• Bei größeren Beständen: Hardware-Wallet. Ein Schlüssel, der das Gerät nie verlässt, ist gegen Infrastrukturvorfälle grundsätzlich unempfindlich.

Einordnung

Dass MetaMask den Vorfall meldet, während er noch läuft, und vorsorglich Validatoren verlässt, spricht für den Umgang damit — die unbequeme Alternative wäre, zu schweigen, bis alles geklärt ist.

Gleichzeitig zeigt der Fall, dass auch non-custodial nicht gleich unberührbar heißt. Die Schlüssel liegen beim Nutzer, aber die Infrastruktur drumherum — Knoten, Dienste, Schnittstellen — bleibt ein Angriffspunkt. Wer größere Beträge hält, sollte seine Sicherheit nicht davon abhängig machen, dass ein Anbieter störungsfrei läuft.

Die Meldung ist als laufend gekennzeichnet. Eine abschließende Bewertung ist erst möglich, wenn MetaMask Details zu Ursache und Umfang veröffentlicht.

Quelle: Berichterstattung von The Hacker News zum MetaMask-Sicherheitsvorfall, Angaben von MetaMask vom 01.10.2026. Abgerufen am 02.10.2026.