Programista powiązany z Koreą Północną przez około miesiąc pracował nad kodem MetaMaska, zanim Consensys zidentyfikował go jako ryzyko, odebrał mu dostęp i poinformował, że nie doszło do utraty środków ani wycieku danych.
Najważniejsze ustalenia:
- Programista posłużył się fałszywą tożsamością i trafił do Consensys jako pracownik firmy zewnętrznej.
- Pracował nad kluczowym kodem portfela i funkcjami łączącymi krypto z usługami płatności fiat.
- Consensys wstrzymał wydania produktów, powiadomił organy ścigania i rozpoczął przegląd zasad współpracy z podwykonawcami.
Infiltracja MetaMaska
Konsultant posługiwał się nazwiskiem Tyler Knapp oraz kontem GitHub „imyugioh”, trafiając do firmy poprzez podwykonawcę, z którym Consensys już współpracował. Jego publiczne kontrybucje ciągnęły się od 9 marca do kwietnia, co dało mu około miesiąca dostępu do środowiska deweloperskiego portfela.
Z wewnętrznej korespondencji wynika, że Knapp pracował nad główną platformą MetaMaska i elementami portfela mobilnego, w tym nad kodem obsługującym wymianę krypto na fiat za pośrednictwem zewnętrznych dostawców płatności. Gdy firma wykryła zagrożenie, radca prawny Matt Corva nakazał wstrzymanie wydań produktów i ograniczenie kontaktu z konsultantem. Następnie Consensys zablokował mu dostęp.
„Zidentyfikowaliśmy zagrożenie (…) i przeprowadziliśmy szeroko zakrojone dochodzenie, które potwierdziło, że nie doszło do przywłaszczenia aktywów ani danych, nie wdrożono złośliwego kodu i nie wystąpiło zagrożenie dla bezpieczeństwa użytkowników” – przekazał Corva. Spółka powiadomiła organy ścigania i dokonała przeglądu procedur weryfikacji zewnętrznych inżynierów.
Zobacz także: Menadżerowie ostrzegają: sześć agencji przekroczyło termin wdrożenia przepisów ustawy GENIUS
Ryzyka rekrutacyjne w krypto
Sprawa pokazuje, że konta deweloperskie mogą otwierać drogę do kodu źródłowego i systemów podpisywania transakcji bez konieczności klasycznego „włamania” do infrastruktury firmy z zewnątrz.
TRM Labs ostrzega, że przejęte środowiska deweloperskie mogą stać się bezpośrednią ścieżką do infrastruktury, która autoryzuje transfery środków.
Incydent wpisuje się w szerszą kampanię, w ramach której północnokoreańscy pracownicy podszywają się pod specjalistów IT, aby zdobyć zdalne zlecenia technologiczne. Program finansowany przez Ethereum (ETH) poinformował, że w ciągu pół roku zidentyfikował około 100 podejrzanych operatyw na 53 projektach kryptowalutowych. Sądy w USA skazywały też Amerykanów, którzy pomagali tym pracownikom udawać osoby zatrudnione lokalnie.
Ryzyko finansowe pozostaje ogromne. FBI przypisało północnokoreańskim hakerom kradzież około 1,5 mld dolarów z Bybit w 2025 r., a branżowe szacunki wiązały KRLD z ponad połową globalnych strat z tytułu kradzieży krypto w tym roku.
Operacje prowadzone przez Koreę Północną coraz częściej łączą fikcyjną rekrutację, zdalne zatrudnienie i klasyczne techniki hakerskie zamiast opierać się na jednym wektorze ataku. Choć Consensys w tym przypadku zablokował podwykonawcę, zanim doszło do szkód, incydent wpisuje się w utrwalający się schemat, który zmusza firmy kryptowalutowe do zaostrzania weryfikacji tożsamości oraz dzielenia się informacjami o zagrożeniach.
Czytaj dalej: Trezor odpowiada na zarzut ZachXBT, że portfele są kompletnym śmieciem
