MetaMask retire ses validateurs Ethereum après un incident de sécurité

Le communiqué a été rapporté par BleepingComputer jeudi. MetaMask indique qu'il traite et corrige activement le problème « en interne, en coordination avec des partenaires externes et des conseillers en sécurité ». L'entreprise n'a identifié « aucune menace immédiate pour les portefeuilles MetaMask » à ce stade.

MetaMask n'a pas précisé quelle partie de son infrastructure était touchée. Un porte-parole a renvoyé BleepingComputer vers le communiqué public lorsqu'on lui a demandé si des systèmes ou des données avaient été accédés. Ce portefeuille, développé par Consensys, gère des actifs sur Ethereum et d'autres chaînes compatibles.

Selon Lido Finance, MetaMask Staking, anciennement Consensys Staking, retire ses validateurs Ethereum du protocole Lido. Lido avertit que cette mesure entraînera « probablement des récompenses manquées ainsi que d'éventuelles pénalités d'indisponibilité si les validateurs sont mis hors ligne prochainement pour réduire les risques liés à d'éventuelles pénalités du réseau ». Les derniers validateurs doivent être retirés, bien que non totalement désengagés, d'ici la fin du 7 octobre 2026. MetaMask et Lido soulignent que les opérations de staking sont non-custodiales et que les clés de retrait ne sont pas gérées au nom des clients. The Hacker News a rapporté le 1er octobre que MetaMask avait travaillé avec des partenaires pour retirer les validateurs concernés et n'avait constaté aucune preuve que des portefeuilles ou des fonds clients aient été affectés.

Câbles sous-marins, satellites et le problème de confiance sous-jacent

L'épisode MetaMask fait partie de plusieurs incidents cet automne où le point faible se situe sous la couche applicative. Le même jour que l'incident du portefeuille est apparu, le forum IA de CNBC à Dallas a placé les agents autonomes et le risque cyber au cœur de son ordre du jour. Navrina Singh, fondatrice de Credo AI, a argué qu'il y a eu « beaucoup moins d'attention portée à la manière de mettre en place la bonne infrastructure de gouvernance ».

La couche physique a sa propre version de ce problème. Le 1er octobre, BAE Systems a publié un article sur la transformation du fond marin en capteur pour protéger les infrastructures sous-marines critiques. Le Département de la guerre des États-Unis a déclaré que les Marines soutiendraient une initiative de sécurité de l'OTAN en mer Baltique.

Des rapports sur stripes.com, Defence Industry Europe et Fierce Sensors ont décrit le même déploiement, avec des drones et des capteurs côtiers soutenant les forces finlandaises. L'Irlande et la Grande-Bretagne ont mené leur premier exercice de sécurité des câbles de télécommunications sous-marins, a rapporté le Irish Examiner le 1er octobre. Le SEAE a indiqué que l'UE et Singapour ont discuté du renforcement de la sécurité des infrastructures maritimes et sous-marines critiques le même jour. Le 29 septembre, Defence24.com a rapporté que la Pologne avait rejoint les cinq principaux projets de défense de l'UE, avec le programme Eastern Flank Watch pouvant atteindre 100 000 000 000 euros.

Où le risque logiciel rencontre le câble

Les chercheurs en sécurité continuent de trouver le même schéma dans des piles différentes. Selon The Decoder du 1er octobre, la startup de sécurité Glow Security a trouvé plus de 13 000 captures d'écran internes d'entreprises que des agents IA avaient téléchargées publiquement sur des dépôts GitHub. Ces captures appartenaient à 343 organisations, y compris des entreprises du Fortune 500 et des laboratoires d'IA. Elles montraient des données clients, des identifiants de connexion et des fonctionnalités non publiées. Comme les images n'étaient pas stockées dans des comptes d'entreprise, les équipes de sécurité ne l'ont jamais remarqué.

Epic, le géant américain des dossiers médicaux derrière MyChart, a suspendu la majeure partie de son développement de produits. Judy Faulkner, fondatrice et PDG, a déclaré à Modern Healthcare que cette pause durerait probablement six semaines. La décision fait suite à un déploiement du modèle de cybersécurité frontière d'Anthropic, Mythos, qui a déterré des failles. Le directeur de la sécurité d'Epic, Stirling Martin, a déclaré au New York Times que certaines configurations client de MyChart pouvaient permettre à des tiers d'accéder aux dossiers de patients sans enregistrer une intrusion. MyChart détient plus de 320 000 000 dossiers de patients, a rapporté TechCrunch le 2 octobre.

Côté open source, Envoy Gateway a publié la v1.9.1 le 28 août. Cette version intègre AES-256-GCM pour le chiffrement des cookies de session OAuth2/OIDC et retire le chemin de déchiffrement legacy AES-256-CBC, traitant la CVE-2026-47 775, a rapporté InfoQ le 2 octobre. Elle a également restauré un délai d'attente initial de 15 secondes après que la v1.9.0 l'ait mis à zéro. Un changement lié dans une issue GitHub à une panne de production où les proxies ont perdu les certificats TLS en aval.

DigitalOcean a lancé Managed Agents en aperçu public. L'offre comprend des microVM isolées, un Harness Runtime pour des agents de codage tels que Claude Code et Codex CLI, et une Action Gateway exposant plus de 16 000 outils derrière des permissions centralisées et une approbation humaine pour les opérations sensibles, a rapporté InfoQ le 2 octobre. Gecko Robotics, de son côté, a déclaré le 28 septembre qu'elle travaillait avec NVIDIA pour ajouter la sécurité et le contrôle des agents IA, a écrit The Robot Report.

Réseau électrique, puces et argent derrière l'infrastructure européenne

La construction de l'infrastructure européenne elle-même continue de rencontrer des contraintes qui ne sont pas purement techniques. Transport and Environment, écrivant dans CleanTechnica le 1er octobre, a noté que 375 GW de projets d'énergie propre et 455 GW de projets de stockage par batterie attendent dans les files d'attente pour la connexion au réseau. Les sites côté demande tels que les usines, centres de données, ports et aéroports font face à la même congestion. Les ports et aéroports ont été légalement contraints de s'électrifier, mais le réseau doit suivre.

Lors de l'événement Pretzl Connect 2026 à Budapest, Kate Underhill, architecte future des transports spatiaux de propulsion de l'ESA, a dit à EE Times que les systèmes spatiaux fonctionnent typiquement « au moins 10 ans derrière l'électronique grand public ». Les constructeurs de satellites européens font souvent face aux règles d'exportation américaines : « S'il y a un composant américain sur votre satellite, vous devez vous conformer aux réglementations américaines. »

L'argent se déplace vers la couche sous l'application. DIG Ventures a clôturé son troisième fonds à 120 000 000 dollars pour soutenir les entreprises IA natives et d'infrastructure cloud en phase pré-seed et seed, ont rapporté Tech.eu et Sifted le 1er octobre. Headline a clôturé un fonds européen de 400 000 000 dollars axé sur les phases Seed et Série A, a rapporté Tech.eu le même jour, citant son pari précoce sur Mistral. Orange Business a été sélectionné comme partenaire réseau de confiance pour TESTA-EIRIIS, la dorsale privée de l'UE pour les administrations publiques, a rapporté Light Reading le 29 septembre. L'offre promet une disponibilité de 99 999 % sur au moins 12 points de présence.

Aucun de cela ne résout la question MetaMask. À la date de la mise à jour de l'entreprise du 1er octobre, les équipes travaillaient encore à la containment et à la vérification. MetaMask a réitéré qu'il ne demandera jamais aux utilisateurs leur phrase de récupération secrète.