MetaMask披露基础设施遭未授权访问，仅少量质押奖励被转移

MetaMask将9月28日的未授权访问定性为验证者奖励接收地址被改，11月5日更新称受影响验证者已全部退出、约0.385 ETH奖励被转移。事件主体是其非托管质押业务（前Consensys Staking），此前在Lido上运营验证者；10月初公开时，Lido、Ethena、ether.fi、Aave均称无敞口，风险被隔离在MetaMask Staking运营层。

最值得留意的是损失与处置的不对称：被盗仅0.385 ETH，却触发预防性退出、部分客户提款延迟，且从9月28日事发到11月5日完成退出耗时近六周。攻击面落在奖励地址这类运营层，而非钱包私钥；对质押服务商而言，声誉与流动性成本远高于账面损失。这也会把竞争焦点推向验证者运维、退出队列与应急披露。