Ein mutmaßlich mit Nordkorea verbundener Entwickler hat rund einen Monat lang am Code von MetaMask mitgearbeitet, bevor Consensys den externen Auftragnehmer identifizierte, seine Zugriffsrechte entzog und meldete, dass weder Vermögenswerte noch Nutzerdaten kompromittiert wurden.
Zentrale Fakten:
- Der Entwickler nutzte eine falsche Identität und gelangte über einen Drittanbieter zu Consensys.
- Er arbeitete an zentralen Wallet-Komponenten und Features, die Krypto-Zahlungen mit Fiat-Diensten verknüpfen.
- Consensys stoppte Releases, informierte Strafverfolger und verschärft nun die Kontrolle externer Dienstleister.
Infiltration bei MetaMask
Der Berater trat unter dem Namen Tyler Knapp und dem GitHub-Handle „imyugioh“ auf und wurde über einen bereits von Consensys genutzten Subunternehmer eingebunden. Seine öffentlichen Beiträge datieren vom 9. März bis in den April – etwa ein Monat mit Zugang zur Entwicklungsumgebung der Wallet.
Interne Nachrichten zeigen, dass Knapp sowohl an der Kernplattform von MetaMask als auch an Teilen der Mobile-Wallet arbeitete, darunter Code für Krypto-zu-Fiat-Konvertierungen über externe Zahlungsdienstleister. Nachdem das Unternehmen die Bedrohung erkannt hatte, wies Chefjurist Matt Corva die Belegschaft an, Produktveröffentlichungen auszusetzen und den Kontakt zum Berater abzubrechen. Consensys kappte anschließend dessen Zugänge.
„Wir haben die Bedrohung entdeckt … und eine umfassende Untersuchung eingeleitet, die bestätigt hat, dass keine Vermögenswerte oder Daten abflossen, kein bösartiger Code ausgerollt wurde und die Sicherheit der Nutzer zu keinem Zeitpunkt beeinträchtigt war“, erklärte Corva. Das Unternehmen informierte die Strafverfolgungsbehörden und überprüft nun seine Prüfprozesse für ausgelagerte Entwicklerleistungen.
Lesen Sie außerdem: Manager warnen: Sechs US-Behörden verpassen Frist für GENIUS-Act-Regeln
Einstellungsrisiken im Krypto-Sektor
Der Fall zeigt, wie Entwicklerkonten zum Einfallstor für Quellcode und Systeme zur Transaktionssignatur werden können – ganz ohne klassischen externen Angriff auf die Unternehmens-IT.
TRM Labs warnt seit Längerem, dass kompromittierte Entwicklungsumgebungen direkten Zugriff auf Infrastruktur eröffnen können, mit der Transaktionen autorisiert werden.
Der Vorfall reiht sich in eine breitere Offensive ein: Nordkoreanische Arbeitskräfte nutzen zunehmend Scheinidentitäten, um sich Remote-Jobs im Technologiesektor zu sichern. Ein von Ethereum (ETH) finanziertes Programm will in nur sechs Monaten rund 100 mutmaßliche operative Kräfte in 53 Krypto-Projekten identifiziert haben. US-Gerichte haben zudem Amerikaner verurteilt, die solchen Arbeitskräften dabei halfen, sich als lokal ansässig auszugeben.
Das finanzielle Risiko bleibt erheblich. Das FBI schreibt den Diebstahl von rund 1,5 Milliarden US‑Dollar beim Anbieter Bybit im Jahr 2025 nordkoreanischen Hackern zu; Branchenanalysen führen mehr als die Hälfte der weltweiten Kryptodiebstahlsverluste dieses Jahres auf Akteure aus dem Land zurück.
Nordkoreanische Operationen kombinieren zunehmend fingierte Rekrutierung, Remote-Beschäftigung und klassische Hacking-Methoden, statt sich auf einen einzelnen Angriffsvektor zu stützen. Consensys stoppte diesen Auftragnehmer, bevor Schaden erkennbar wurde – der Fall fügt sich jedoch in ein Muster ein, das Kryptofirmen dazu bewegt, Identitätsprüfungen zu verschärfen und Bedrohungsinformationen stärker zu teilen.
Als Nächstes lesen: Trezor weist ZachXBTs Vorwurf zurück, die Wallets seien kompletter Müll
