Um desenvolvedor com ligações à Coreia do Norte trabalhou no código da MetaMask por cerca de um mês antes de a Consensys identificar o prestador, revogar seus acessos e afirmar não ter registrado qualquer perda de ativos ou de dados.
Principais pontos:
- O desenvolvedor usou identidade falsa e entrou na Consensys por meio de um fornecedor terceirizado.
- Seu trabalho envolvia código central da carteira e recursos que conectam cripto a serviços de pagamento em moeda fiduciária.
- A Consensys suspendeu lançamentos, acionou autoridades e iniciou uma revisão dos controles sobre prestadores.
Infiltração na MetaMask
O consultor usou o nome Tyler Knapp e o perfil “imyugioh” no GitHub após ingressar via uma empresa contratada que já prestava serviços à Consensys. Suas contribuições públicas ocorreram entre 9 de março e abril, garantindo cerca de um mês de acesso ao ambiente de desenvolvimento da carteira.
Mensagens internas indicam que Knapp atuou na plataforma central da MetaMask e em partes da carteira mobile, incluindo código para conversão de cripto em moeda fiduciária por meio de provedores de pagamento externos. Quando a empresa identificou o risco, o diretor jurídico, Matt Corva, orientou a equipe a suspender lançamentos de produto e interromper qualquer contato com o consultor. Em seguida, a Consensys encerrou seus acessos.
“Identificamos a ameaça … e conduzimos uma investigação abrangente que confirmou não haver apropriação indevida de ativos ou dados, nenhum código malicioso implantado e nenhum impacto à segurança dos usuários”, declarou Corva. A companhia informou as autoridades e iniciou uma revisão dos processos de triagem de engenheiros terceirizados.
Veja também: Executivos alertam que seis agências perderam prazo para a regra do GENIUS Act
Riscos de contratação no setor cripto
O caso evidencia como contas de desenvolvedores podem expor código-fonte e sistemas de assinatura de transações sem que invasores precisem violar as camadas externas de segurança de uma empresa.
A TRM Labs já alertou que ambientes de desenvolvimento comprometidos podem abrir um caminho direto até a infraestrutura usada para autorizar transferências.
O episódio se insere em uma ofensiva mais ampla, na qual trabalhadores norte-coreanos utilizam identidades falsas para conseguir empregos remotos em tecnologia. Um programa financiado pela Ethereum (ETH) afirma ter identificado cerca de 100 supostos agentes infiltrados em 53 projetos cripto em apenas seis meses. Tribunais dos EUA também já condenaram americanos que ajudaram esses profissionais a aparentar residência local.
O risco financeiro é expressivo. O FBI atribuiu ao grupo norte-coreano o roubo de cerca de US$ 1,5 bilhão da Bybit em 2025, enquanto estimativas do setor indicam que o país respondeu por mais da metade das perdas globais com roubos de cripto naquele ano.
As operações norte-coreanas vêm combinando, cada vez mais, fraudes em recrutamento, trabalho remoto e ataques de hackers tradicionais, em vez de depender de um único vetor de entrada. A Consensys interrompeu a atuação desse prestador antes de identificar danos concretos, mas o episódio reforça um padrão que leva empresas cripto a endurecer verificações de identidade e intensificar o compartilhamento de informações sobre ameaças.
Leia a seguir: Trezor rebate alegação de ZachXBT de que carteiras são lixo completo
