Un desarrollador vinculado a Corea del Norte trabajó durante aproximadamente un mes en el código de MetaMask antes de que Consensys detectara que se trataba de un contratista de alto riesgo, revocara sus accesos y confirmara que no hubo pérdida de activos ni de datos.
Claves del caso
- El desarrollador utilizó una identidad falsa y accedió a Consensys a través de un proveedor externo.
- Participó en el desarrollo del código central del monedero y en funciones que conectan las criptomonedas con servicios de pago en moneda fiduciaria.
- Consensys paralizó lanzamientos, avisó a las autoridades y comenzó a revisar sus controles sobre contratistas.
Infiltración en MetaMask
El consultor utilizó el nombre Tyler Knapp y el usuario de GitHub “imyugioh” tras incorporarse a través de un contratista ya empleado por Consensys. Sus contribuciones públicas se registran desde el 9 de marzo hasta abril, lo que le dio cerca de un mes dentro del entorno de desarrollo del monedero.
Mensajes internos muestran que Knapp trabajó en la plataforma central de MetaMask y en partes de su monedero móvil, incluido código que permite conversiones cripto‑a‑fiat mediante proveedores de pago externos. Cuando la compañía identificó la amenaza, el asesor jurídico general, Matt Corva, ordenó suspender los lanzamientos de producto y cortar todo contacto con el consultor. Posteriormente, Consensys canceló por completo sus credenciales de acceso.
“Detectamos la amenaza… e iniciamos una investigación exhaustiva que confirmó que no hubo apropiación indebida de activos ni de datos, ningún código malicioso desplegado y ningún impacto en la seguridad de los usuarios”, afirmó Corva. La empresa notificó a las fuerzas de seguridad y revisó sus procesos de selección y supervisión de ingenieros subcontratados.
También lea: Directivos alertan de que seis agencias incumplieron el plazo normativo de la GENIUS Act
Riesgos de contratación en el sector cripto
El caso pone de relieve cómo las cuentas de desarrolladores pueden abrir la puerta al código fuente y a los sistemas de firmado de transacciones sin necesidad de que los atacantes vulneren la infraestructura desde el exterior.
TRM Labs ha advertido de que los entornos de desarrollo comprometidos pueden convertirse en una vía directa hacia la infraestructura que autoriza transferencias.
Este incidente se suma a una campaña más amplia en la que trabajadores norcoreanos han utilizado identidades falsas para asegurarse empleos remotos en tecnología. Un programa financiado con Ethereum (ETH) afirmó haber identificado en seis meses cerca de 100 presuntos operativos infiltrados en 53 proyectos cripto. Los tribunales estadounidenses también han condenado a ciudadanos del país que ayudaron a estos trabajadores a aparentar residencia local.
El riesgo financiero es significativo. El FBI atribuyó a hackers norcoreanos el robo de unos 1.500 millones de dólares en 2025 a Bybit, mientras que estimaciones del sector vincularon a Corea del Norte con más de la mitad de las pérdidas globales por robos de criptomonedas ese año.
Las operaciones norcoreanas combinan cada vez más falsos procesos de selección, trabajo remoto y ciberataques tradicionales, en lugar de depender de un único vector de entrada. Consensys frenó a este contratista antes de detectar daños, pero el episodio se suma a un patrón que ha llevado a las empresas cripto a endurecer sus verificaciones de identidad y a reforzar el intercambio de inteligencia sobre amenazas.
Lea a continuación: Trezor rebate la acusación de ZachXBT de que sus monederos son “basura total”