Un développeur lié à la Corée du Nord a travaillé sur le code de MetaMask pendant environ un mois avant que Consensys ne l’identifie, ne révoque ses accès et ne confirme qu’aucune perte d’actifs ni fuite de données n’avait eu lieu.
Points clés :
- Le développeur a utilisé une fausse identité et a intégré Consensys via un prestataire tiers.
- Il a travaillé sur le code cœur du portefeuille et sur des fonctionnalités reliant les cryptos aux services de paiement en monnaie fiduciaire.
- Consensys a gelé les mises en production, alerté les autorités et lancé un audit de ses procédures de gestion des sous-traitants.
Une infiltration chez MetaMask
Le consultant a utilisé le nom Tyler Knapp et le pseudonyme GitHub « imyugioh » après avoir été introduit par un prestataire déjà référencé chez Consensys. Ses contributions publiques s’étendent du 9 mars à avril, lui donnant environ un mois d’accès à l’environnement de développement du portefeuille.
Des échanges internes montrent que Knapp a travaillé sur la plateforme cœur de MetaMask et sur certaines briques de son portefeuille mobile, notamment sur le code permettant des conversions crypto‑vers‑fiat via des prestataires de paiement externes. Une fois la menace détectée, le directeur juridique, Matt Corva, a demandé aux équipes de suspendre les mises en production et de couper tout contact avec le consultant. Consensys a ensuite résilié tous ses accès.
« Nous avons identifié la menace (…) et mené une enquête approfondie qui a confirmé l’absence de détournement d’actifs ou de données, l’absence de déploiement de code malveillant et l’absence d’impact sur la sécurité des utilisateurs », a déclaré Corva. L’entreprise a notifié les forces de l’ordre et revu ses processus de qualification des ingénieurs externalisés.
À lire aussi : Des dirigeants dénoncent six agences qui ont manqué la date limite du règlement du GENIUS Act
Les risques RH dans la crypto
Cette affaire illustre la manière dont des comptes développeurs peuvent exposer le code source et les systèmes de signature de transactions sans qu’un attaquant ait besoin de percer les défenses externes d’une entreprise.
TRM Labs a déjà souligné que des environnements de développement compromis offrent une voie directe vers les infrastructures qui autorisent les transferts.
L’incident s’inscrit dans une campagne plus large durant laquelle des travailleurs nord‑coréens utilisent de fausses identités pour obtenir des postes technologiques à distance. Un programme financé par Ethereum (ETH) affirme avoir identifié quelque 100 opérateurs présumés répartis sur 53 projets crypto en six mois. Les tribunaux américains ont également condamné des citoyens ayant aidé ces travailleurs à se faire passer pour basés aux États‑Unis.
Le risque financier reste majeur. Le FBI a attribué au régime nord‑coréen le vol d’environ 1,5 milliard de dollars chez Bybit en 2025, tandis que les estimations du secteur imputent au pays plus de la moitié des pertes globales liées aux vols de cryptomonnaies cette année‑là.
Les opérations nord‑coréennes mêlent de plus en plus faux recrutements, emplois à distance et piratage plus classique, plutôt que de reposer sur une seule méthode d’intrusion. Consensys a stoppé ce sous‑traitant avant de constater des dégâts, mais l’épisode s’ajoute à une série d’incidents qui poussent les entreprises crypto à renforcer les contrôles d’identité et à mutualiser le renseignement sur les menaces.
À suivre : Trezor réfute l’affirmation de ZachXBT selon laquelle ses portefeuilles sont « de la pure camelote »
