Um desenvolvedor ligado à Coreia do Norte trabalhou por cerca de um mês no código da MetaMask antes de a Consensys identificar o contratado, cortar seu acesso e informar que não houve perda de ativos ou de dados.
Principais pontos:
- O desenvolvedor usou identidade falsa e entrou na Consensys por meio de um fornecedor terceirizado.
- Ele atuou em código central da carteira e em recursos que conectam cripto a serviços de pagamento em moeda fiduciária.
- A Consensys suspendeu lançamentos, acionou autoridades e iniciou uma revisão de seus controles sobre terceiros.
Infiltração na MetaMask
O consultor usou o nome Tyler Knapp e o usuário no GitHub “imyugioh”, após ter sido alocado por uma empresa terceirizada já contratada pela Consensys. Suas contribuições públicas ocorreram de 9 de março até abril, o que lhe deu cerca de um mês dentro do ambiente de desenvolvimento da carteira.
Mensagens internas mostram que Knapp trabalhou na plataforma central da MetaMask e em partes da carteira móvel, incluindo trechos de código que dão suporte a conversões cripto‑para‑fiduciário por meio de provedores externos de pagamento. Quando a empresa identificou a ameaça, o diretor jurídico Matt Corva orientou as equipes a suspenderem lançamentos de produto e a evitarem qualquer contato com o consultor. Em seguida, a Consensys encerrou seu acesso.
“Detectamos a ameaça … e conduzimos uma investigação abrangente que confirmou não haver apropriação indevida de ativos ou dados, nenhum código malicioso implantado e nenhum impacto à segurança dos usuários”, afirmou Corva. A empresa notificou as autoridades e revisou seus processos de qualificação de engenheiros terceirizados.
Veja também: Executivos alertam que seis agências perderam o prazo da regra do GENIUS Act
Riscos na contratação de talentos cripto
O caso evidencia como contas de desenvolvedores podem abrir acesso a código‑fonte e a sistemas de assinatura de transações sem que atacantes precisem invadir a empresa a partir do exterior.
A TRM Labs já alertou que ambientes de desenvolvimento comprometidos podem oferecer um caminho direto até a infraestrutura usada para autorizar transferências.
O episódio se insere em uma campanha mais ampla, na qual trabalhadores norte‑coreanos utilizam identidades falsas para conquistar vagas remotas em tecnologia. Um programa financiado por Ethereum (ETH) afirmou ter identificado cerca de 100 suspeitos atuando em 53 projetos cripto ao longo de seis meses. Tribunais dos EUA também já condenaram americanos que ajudaram esses profissionais a parecerem residentes locais.
O risco financeiro continua elevado. O FBI atribuiu ao regime norte‑coreano o roubo, em 2025, de cerca de US$ 1,5 bilhão da Bybit, enquanto estimativas do setor ligaram o país a mais da metade das perdas globais com roubos de cripto naquele ano.
As operações norte‑coreanas vêm combinando, cada vez mais, falsas contratações, trabalho remoto e ataques cibernéticos tradicionais, em vez de depender de um único vetor de invasão. A Consensys conseguiu barrar esse contratado antes de encontrar danos concretos, mas o caso reforça um padrão que tem levado empresas cripto a reforçar checagens de identidade e a compartilhar inteligência sobre ameaças.
Leia a seguir: Trezor rebate alegação de ZachXBT de que carteiras são “lixo completo”