Een ontwikkelaar met banden met Noord-Korea heeft circa een maand lang aan de code van MetaMask gewerkt voordat Consensys de ingehuurde kracht identificeerde, diens toegang introk en concludeerde dat er geen verlies van tegoeden of data had plaatsgevonden.
Belangrijkste punten:
- De ontwikkelaar gebruikte een valse identiteit en kwam via een externe dienstverlener bij Consensys binnen.
- Hij werkte aan kernfuncties van de wallet en aan koppelingen tussen crypto en fiat-betalingsdiensten.
- Consensys pauzeerde releases, schakelde justitie in en begon de beheersing rond externe developers te herzien.
Infiltratie bij MetaMask
De consultant gebruikte de naam Tyler Knapp en het GitHub-account “imyugioh” nadat hij via een al langer ingeschakelde contractor bij Consensys was binnengekomen. Zijn publieke bijdragen lopen van 9 maart tot in april, wat hem ongeveer een maand toegang gaf tot de ontwikkelomgeving van de wallet.
Uit interne berichten blijkt dat Knapp werkte aan het kernplatform van MetaMask en onderdelen van de mobiele wallet, waaronder code voor crypto-naar-fiatconversies via externe betalingsverwerkers. Zodra het bedrijf het risico onderkende, gaf juridisch directeur Matt Corva opdracht alle productreleases stil te leggen en elk contact met de consultant te vermijden. Kort daarop trok Consensys zijn toegang volledig in.
“We hebben de dreiging ontdekt … en een grondig onderzoek opgestart dat bevestigde dat er geen verduistering van assets of data is geweest, geen kwaadaardige code is uitgerold en er geen impact is op de veiligheid van gebruikers,” aldus Corva. Het bedrijf informeerde opsporingsdiensten en verscherpte de screening van ingehuurde engineers.
Ook interessant: Bestuurders waarschuwen dat zes toezichthouders de deadline voor de GENIUS Act-regels misten
Personeelsrisico’s in crypto
De zaak illustreert hoe ontwikkelaarsaccounts toegang kunnen geven tot broncode en systemen voor transactiesigning, zonder dat aanvallers zich eerst van buitenaf een weg het bedrijf in hoeven te hacken.
TRM Labs waarschuwde eerder dat gecompromitteerde ontwikkelomgevingen een directe route kunnen bieden naar infrastructuur die wordt gebruikt om transfers goed te keuren.
Het incident past in een bredere campagne waarbij Noord-Koreaanse arbeidskrachten met valse identiteiten remote techbanen bemachtigen. Een door Ethereum (ETH) gefinancierd programma zegt in een halfjaar circa honderd vermoedelijke Noord-Koreaanse operatives te hebben opgespoord, verspreid over 53 cryptoprojecten. Amerikaanse rechtbanken hebben inmiddels ook Amerikanen veroordeeld die deze werknemers hielpen zich als lokaal personeel voor te doen.
De financiële risico’s zijn aanzienlijk. De FBI schreef de diefstal van ongeveer 1,5 miljard dollar bij Bybit in 2025 toe aan Noord-Koreaanse hackers. Volgens branchecijfers zou het land dat jaar verantwoordelijk zijn zijn geweest voor meer dan de helft van alle verliezen door cryptodiefstal wereldwijd.
Noord-Koreaanse operaties combineren steeds vaker valse recruitment, remote dienstverbanden en klassieke hackmethodes, in plaats van te vertrouwen op één enkele ingang. Consensys wist deze contractor vóór daadwerkelijke schade te stoppen, maar het incident past in een patroon dat cryptobedrijven dwingt om identiteitscontroles aan te scherpen en dreigingsinformatie intensiever onderling te delen.
Lees ook: Trezor pareert ZachXBT's bewering dat wallets “compleet waardeloos” zijn
