Uno sviluppatore collegato alla Corea del Nord ha lavorato al codice di MetaMask per circa un mese prima che Consensys individuasse la sua reale identità, revocasse gli accessi e confermasse l’assenza di perdite di asset o dati.
Punti chiave:
- Lo sviluppatore ha usato una falsa identità ed è entrato in Consensys tramite un fornitore terzo.
- Ha lavorato su parti centrali del wallet e su funzionalità che collegano le criptovalute ai servizi di pagamento in valuta fiat.
- Consensys ha bloccato i rilasci, allertato le autorità e avviato una revisione dei controlli sui contractor.
L’infiltrazione in MetaMask
Il consulente ha utilizzato il nome Tyler Knapp e l’handle GitHub “imyugioh”, entrando in azienda tramite un contractor già impiegato da Consensys. I suoi contributi pubblici risultano dal 9 marzo fino ad aprile, il che gli ha garantito circa un mese di permanenza nell’ambiente di sviluppo del wallet.
Messaggi interni mostrano che Knapp ha lavorato sulla piattaforma core di MetaMask e su componenti del wallet mobile, inclusi moduli di codice dedicati alla conversione cripto‑fiat tramite provider di pagamento esterni. Quando l’azienda ha individuato la minaccia, il general counsel Matt Corva ha ordinato al team di sospendere i rilasci di prodotto ed evitare qualsiasi contatto con il consulente. Consensys ha quindi interrotto ogni suo accesso.
“Abbiamo individuato la minaccia … e avviato un’indagine approfondita che ha confermato l’assenza di appropriazione indebita di asset o dati, nessun codice malevolo distribuito e nessun impatto sulla sicurezza degli utenti”, ha dichiarato Corva. La società ha informato le forze dell’ordine e avviato una revisione delle procedure di selezione degli ingegneri esternalizzati.
Vedi anche: I dirigenti avvertono che sei agenzie hanno mancato la scadenza del regolamento del GENIUS Act
I rischi di assunzione nel crypto
Il caso mette in evidenza come gli account degli sviluppatori possano esporre il codice sorgente e i sistemi di firma delle transazioni senza che un attaccante debba forzare dall’esterno le difese di un’azienda.
TRM Labs ha avvertito che ambienti di sviluppo compromessi possono offrire un canale diretto verso l’infrastruttura utilizzata per autorizzare i trasferimenti di fondi.
L’episodio si inserisce in una campagna più ampia in cui lavoratori nordcoreani, sotto falsa identità, ottengono impieghi da remoto nel settore tecnologico. Un programma finanziato da Ethereum (ETH) ha dichiarato di aver identificato circa 100 presunti operatori distribuiti su 53 progetti crypto in sei mesi. I tribunali statunitensi hanno inoltre condannato cittadini americani che avevano aiutato questi lavoratori a sembrare residenti locali.
Il rischio finanziario rimane significativo. L’FBI ha attribuito al cyber‑crimine nordcoreano il furto, nel 2025, di circa 1,5 miliardi di dollari dall’exchange Bybit, mentre le stime di settore hanno collegato il Paese a oltre la metà delle perdite globali da furti crypto registrate in quell’anno.
Le operazioni nordcoreane combinano sempre più spesso falsi processi di reclutamento, lavoro da remoto e attacchi informatici tradizionali, invece di affidarsi a un’unica via di accesso. Consensys ha bloccato questo contractor prima che emergessero danni concreti, ma l’episodio si inserisce in un pattern che sta spingendo le società crypto a irrigidire i controlli di identità e a condividere maggiormente le informazioni sulle minacce.
Da leggere dopo: Trezor replica all’accusa di ZachXBT secondo cui i wallet sarebbero spazzatura totale
