Een ontwikkelaar met vermoedelijke banden met Noord‑Korea heeft ongeveer een maand aan de broncode van MetaMask gewerkt voordat Consensys de externe kracht identificeerde, zijn toegang introk en vaststelde dat er geen tegoeden of gegevens waren buitgemaakt.
Belangrijkste punten:
- De ontwikkelaar gebruikte een valse identiteit en kwam via een externe leverancier bij Consensys binnen.
- Hij werkte aan kerncode van de wallet en aan functionaliteit die crypto verbindt met fiat-betaaldiensten.
- Consensys legde releases stil, schakelde justitie in en scherpte de controle op aannemers aan.
Infiltratie bij MetaMask
De consultant gebruikte de naam Tyler Knapp en het GitHub-account “imyugioh” nadat hij was aangetrokken via een al langer door Consensys ingeschakelde opdrachtnemer. Zijn publieke bijdragen liepen van 9 maart tot in april, wat hem ongeveer een maand toegang gaf tot de ontwikkelomgeving van de wallet.
Uit interne communicatie blijkt dat Knapp werkte aan het kernplatform van MetaMask en delen van de mobiele wallet, waaronder code voor crypto‑naar‑fiat conversies via externe betaalproviders. Zodra het bedrijf de dreiging herkende, gaf juridisch directeur Matt Corva opdracht om productreleases te pauzeren en elk direct contact met de consultant te vermijden. Vervolgens werd zijn toegang volledig beëindigd.
“We hebben de dreiging ontdekt … en een uitgebreid onderzoek gestart waaruit bleek dat er geen misbruik is gemaakt van tegoeden of gegevens, geen kwaadaardige code is uitgerold en de veiligheid en beveiliging van gebruikers niet is aangetast,” aldus Corva. Het bedrijf informeerde de autoriteiten en herzag de screening van uitbestede ontwikkelaars.
Lees ook: Bestuurders waarschuwen dat zes toezichthouders de deadline van de GENIUS Act-rule misten
Wervingsrisico’s in de cryptosector
De zaak onderstreept hoe ontwikkelaarsaccounts directe toegang kunnen geven tot broncode en systemen voor het ondertekenen van transacties, zonder dat aanvallers eerst de externe beveiliging van een bedrijf hoeven te doorbreken.
TRM Labs waarschuwt al langer dat gecompromitteerde ontwikkelomgevingen een directe route kunnen vormen naar infrastructuur die wordt gebruikt om transacties te autoriseren.
Het incident past in een bredere campagne waarbij Noord‑Koreaanse werknemers onder valse namen op afstand technische functies bemachtigen. Een door Ethereum (ETH) gefinancierd programma zegt in een half jaar tijd ongeveer 100 vermoedelijke Noord‑Koreaanse operatives te hebben geïdentificeerd, verspreid over 53 cryptoprojecten. Amerikaanse rechtbanken hebben inmiddels ook Amerikanen veroordeeld die deze werknemers hielpen zich als lokaal gevestigd voor te doen.
De financiële risico’s zijn aanzienlijk. De FBI schrijft de diefstal in 2025 van circa 1,5 miljard dollar bij Bybit toe aan Noord‑Koreaanse hackers, terwijl branche‑inschattingen het land in verband brengen met meer dan de helft van alle wereldwijde cryptodiefstallen in dat jaar.
Noord‑Koreaanse operaties combineren in toenemende mate valse rekrutering, remote‑werk en klassieke hackmethoden, in plaats van op één enkele aanvalsvector te vertrouwen. Consensys wist deze opdrachtnemer te stoppen voordat er schade werd vastgesteld, maar het incident past in een patroon dat cryptobedrijven ertoe dwingt hun identiteitscontroles aan te scherpen en meer dreigingsinformatie met elkaar te delen.
Lees verder: Trezor weerspreekt bewering van ZachXBT dat wallets “compleet waardeloos” zijn