Ethereum : 1 000 dollars dérobés, 1,5 milliard en attente de retrait

Le 30 septembre, MetaMask a révélé un incident de sécurité touchant une partie de son infrastructure, tout en précisant n’avoir identifié aucune menace immédiate pour les wallets de ses utilisateurs. Le montant dérobé était faible. Un pirate a détourné les pourboires de 18 blocs produits par les validateurs de MetaMask Staking vers un wallet alimenté via Tornado Cash, selon les analyses onchain du chercheur Kaden et de Bitquery. Le butin : environ 0,36 ETH, soit moins de 1 000 dollars. Ni MetaMask ni Lido n’ont confirmé ce montant.

La mesure de précaution a été d’une tout autre ampleur. MetaMask Staking, anciennement Consensys Staking, a commencé à retirer les validateurs qu’il exploite pour Lido, le plus grand pool de staking d’Ethereum. En une journée, la file de sortie du réseau est passée de zéro à environ 576 000 ETH, soit près de 1,5 milliard de dollars, selon le tableau de bord Dune de Lido.

L’essentiel de cette file semble provenir de MetaMask. Bitquery recense 16 965 validateurs, détenant 565 056 ETH, qui avaient déjà quitté le réseau ou rejoint la file de sortie au début du 1er octobre. Il s’agit, selon Bitquery, d’une estimation minimale. Parmi eux, environ 7 200 validateurs, représentant quelque 230 000 ETH, étaient exploités pour Lido. Ce chiffre concorde avec le pic d’environ 227 000 ETH observé dans la file de sortie de Lido. Aucune des deux entreprises n’a confirmé ces décomptes.

Le montant du vol est négligeable. C’est la file d’attente qui mérite l’attention.

Cette sortie enclenche un long parcours avant le retour en staking. Chaque validateur doit d’abord patienter dans la file de sortie d’Ethereum. Il cesse ensuite de valider les transactions, puis ses ETH sont reversés à Lido lors du traitement des retraits par le réseau. Lido doit alors les remettre en staking, très probablement auprès d’autres opérateurs de nœuds, sans avoir précisé lesquels. Ces ETH rejoignent donc le bout de la file d’entrée d’Ethereum. Les deux files avancent au rythme d’environ 57 600 ETH par jour. Lido estime que le cycle peut prendre jusqu’à environ 45 jours, sans détailler chaque étape. La reconstitution de TBW ci-dessous suppose que les files restent à leurs niveaux du 2 octobre.

Ce qui allonge le cycle, c’est surtout le retour en staking. La part des ETH placés en staking atteint un record de 35,8 % de l’offre totale, et près de trois fois plus d’ETH attendent d’entrer que de sortir. Tout le monde veut participer, y compris les banques : une banque privée suisse a indiqué à TBW qu’elle pratiquait activement le staking d’ETH et de SOL. Une sortie de précaution oblige les ETH de MetaMask à reprendre leur place derrière tous les autres. Cette file s’est formée sous l’effet de la demande, pas d’un mouvement de panique. Voilà le paradoxe pour les détenteurs : plus le staking attire, plus une mesure de précaution coûte cher.

Pourquoi est-ce important pour les acteurs institutionnels ?

Trois catégories d’acteurs sont directement concernées : les responsables des actifs numériques qui supervisent une activité de staking ou sélectionnent ses prestataires, les banquiers privés dont les clients détiennent des ETH en staking ou des ETP de staking, et les prêteurs qui acceptent de l’ETH ou de l’ETH en staking comme collatéral. Tous sont exposés à la même file d’attente, mais de manière différente.

Qui supporte le coût ? Les détenteurs de stETH perdent du rendement, pas du capital. Un validateur continue de percevoir des récompenses tant qu’il attend dans la file de sortie. Ses ETH ne cessent de rapporter qu’après l’arrêt de son activité, pendant le délai incompressible, le traitement du retrait et l’attente avant la remise en staking. Cette période dure environ 36 jours selon l’estimation basse du délai de retrait, et 37 jours selon l’estimation haute. Les validateurs mis hors ligne avant la fin de leur procédure de sortie subissent, eux, davantage qu’un simple manque à gagner : ils encourent les pénalités d’inactivité signalées par Lido. Selon les estimations de TBW, 230 000 ETH immobilisés pendant environ 37 jours, avec un rendement de 3 %, représentent un manque à gagner d’environ 700 ETH, soit près de 1,9 million de dollars. C’est environ 2 000 fois le montant détourné, mais l’effet reste négligeable pour chaque détenteur : moins de 0,08 stETH pour 1 000 stETH détenus. La réserve d’urgence de Lido, qui dépasse 6 750 stETH, sert à limiter les conséquences des perturbations, pas à indemniser les détenteurs pour les récompenses non perçues.

Des retraits ailleurs en DeFi, sans lien de causalité établi. Les vaults de lending RLUSD et PYUSD de Sentora sur Morpho ont enregistré d’importants retraits le 30 septembre. En quatre heures, l’encours du vault RLUSD est passé d’environ 426 à 350 millions de dollars, et celui du vault PYUSD de 409 à 349 millions. Des relevés effectués le même soir faisaient état d’une liquidité disponible réduite à environ 8,5 millions et 2,4 millions de dollars respectivement. The Defiant a rapproché ces mouvements de l’incident en raison de leur concomitance, tout en précisant que celle-ci ne prouvait pas un lien de cause à effet. Au 2 octobre, Morpho affichait des encours d’environ 430 millions et 395 millions de dollars pour ces deux vaults. Les sorties de précaution ont aussi un précédent : Kiln a retiré l’ensemble de ses validateurs Ethereum après un incident de sécurité en septembre 2025 et affirme, auprès de TBW, avoir conservé 95 % de ses clients.

Fonds et ETP de staking. La file d’attente met à l’épreuve la façon dont ces produits sont structurés. Aux États-Unis, ETHB, le produit de BlackRock, place entre 70 % et 95 % de ses ethers en staking et conserve entre 5 % et 30 % hors staking pour répondre aux demandes de rachat, selon son prospectus. Tant que cette réserve suffit, la file d’attente n’a pas d’incidence. Au-delà, le gestionnaire peut retarder le règlement ou procéder à un règlement en espèces. Le document prévient que la sortie du staking « peut prendre plusieurs semaines ou plusieurs mois » et cite un précédent où la file de sortie avait atteint 46,5 jours.

Les ETP de staking européens fonctionnent généralement autrement. Les participants autorisés, le plus souvent de grands teneurs de marché, demandent directement le rachat de leurs parts à l’émetteur, tandis que les autres investisseurs achètent et vendent en Bourse. C’est alors le teneur de marché qui doit gérer le délai de sortie. En période de tension, ce coût se traduirait très probablement par un écart plus important entre les prix d’achat et de vente. Dans les deux cas, l’investisseur supporte le coût de l’attente. La structure du produit détermine simplement la forme que prend ce coût.

Staking via un prestataire de custody. Dans le cas présent, l’opérateur a décidé de sortir et ses clients ont subi la période sans rendement. Choisir cet opérateur est plus difficile qu’il n’y paraît. En septembre, l’équipe chargée des actifs numériques d’une banque internationale a expliqué à TBW que peu de ses membres avaient une expérience pratique des validateurs, ce qui compliquait l’évaluation des compétences réelles derrière les discours commerciaux. Le partage des revenus ajoute une autre dimension : selon un fournisseur d’infrastructure de staking interrogé par TBW, lorsqu’un validateur est intégré directement à une plateforme de custody, le prestataire de custody conserve généralement environ la moitié des revenus. La due diligence doit donc porter sur la concentration des actifs par opérateur, sur l’identité de celui qui peut déclencher une sortie et sur les clauses qui déterminent qui supporte les récompenses non perçues et les pénalités.

L’ETH en staking comme collatéral. Sur le principal marché wstETH/USDT de Morpho, dont l’encours se situe entre 140 et 150 millions de dollars, un emprunteur est liquidé dès que son prêt atteint 86 % de la valeur du collatéral. Le prêteur dispose donc d’une marge de sécurité de 14 %, qui suppose de pouvoir vendre rapidement le wstETH. S’il doit au contraire le convertir en ETH en passant par le processus de retrait d’Ethereum, il attend environ six semaines, tout en restant exposé au cours de l’ether. Comme TBW l’expliquait le 25 septembre, l’évaluation d’un collatéral doit tenir compte du temps nécessaire pour le liquider, pas seulement de sa volatilité. Le délai d’attente doit donc entrer dans le calcul de la décote appliquée au collatéral.

L’analyse de The Big Whale

Cet épisode ne démontre pas que le staking est dangereux. La décision de précaution d’un opérateur a entraîné le retrait de centaines de milliers d’ETH, et le protocole a fonctionné comme prévu. Il rappelle en revanche que la liquidité de l’ETH en staking dépend des files d’attente d’Ethereum, que la demande record vient allonger. Aucun contrat avec un prestataire ne permet de s’en affranchir.

Les investisseurs qui détiennent de l’ETH en staking devraient poser dès maintenant trois questions à leur prestataire. Quelle part de nos actifs dépend de chaque opérateur ? Qui décide de déclencher une sortie, et selon quelle procédure ? Enfin, qui supporte financièrement les récompenses non perçues ou les pénalités éventuelles ?