Um programador com ligações à Coreia do Norte trabalhou durante cerca de um mês no código da MetaMask antes de a Consensys identificar o contratado, cortar-lhe o acesso e assegurar que não houve qualquer perda de ativos ou de dados.
Principais pontos:
- O programador usou uma identidade falsa e entrou na Consensys via um fornecedor externo.
- Trabalhou em código central da carteira e em funcionalidades que ligam cripto a serviços de pagamento em moeda fiduciária.
- A Consensys suspendeu lançamentos, contactou as autoridades e iniciou uma revisão dos controlos sobre prestadores de serviços.
Infiltração na MetaMask
O consultor utilizou o nome Tyler Knapp e o identificador GitHub “imyugioh”, depois de entrar através de uma empresa de contratação já utilizada pela Consensys. As contribuições públicas no repositório decorreram de 9 de março até abril, dando-lhe cerca de um mês dentro do ambiente de desenvolvimento da carteira.
Mensagens internas mostram que Knapp trabalhou na plataforma central da MetaMask e em partes da versão móvel, incluindo código que suporta conversões cripto-para-fiat via prestadores de pagamento externos. Quando a empresa detetou a ameaça, o diretor jurídico, Matt Corva, ordenou à equipa que suspendesse novos lançamentos de produto e evitasse qualquer contacto com o consultor. A Consensys encerrou de seguida todos os seus acessos.
“Detetámos a ameaça (…) e lançámos uma investigação exaustiva que confirmou não ter havido apropriação indevida de ativos ou dados, nem código malicioso implementado, nem impacto na segurança dos utilizadores”, afirmou Corva. A empresa notificou as autoridades competentes e iniciou uma revisão profunda dos seus processos de triagem de engenheiros subcontratados.
Veja também: Executivos alertam que seis agências falharam o prazo regulamentar do GENIUS Act
Riscos na contratação em cripto
O caso evidencia como contas de programadores podem abrir portas ao código-fonte e a sistemas de assinatura de transações sem que os atacantes tenham de violar diretamente a infraestrutura principal de uma empresa.
A TRM Labs tem alertado que ambientes de desenvolvimento comprometidos podem oferecer um caminho direto até à infraestrutura que autoriza transferências.
O incidente insere‑se numa campanha mais ampla, em que trabalhadores norte‑coreanos recorrem a identidades falsas para assegurar empregos remotos em tecnologia. Um programa financiado por Ethereum (ETH) afirmou ter identificado cerca de 100 alegados operacionais infiltrados em 53 projetos cripto num período de seis meses. Tribunais norte‑americanos também têm condenado cidadãos dos EUA que ajudaram estes trabalhadores a aparentar residência local.
O risco financeiro continua elevado. O FBI atribuiu ao grupo de hackers norte‑coreanos o roubo de cerca de 1,5 mil milhões de dólares à Bybit em 2025, enquanto estimativas do setor ligaram o país a mais de metade das perdas globais com furtos de cripto nesse ano.
As operações norte‑coreanas combinam cada vez mais falsas ofertas de emprego, trabalho remoto e hacking tradicional, em vez de dependerem de um único vetor de intrusão. A Consensys travou este contratado antes de identificar danos, mas o episódio prolonga um padrão que tem levado as empresas cripto a reforçar verificações de identidade e a partilhar informação sobre ameaças.
Leia a seguir: Trezor rebate alegação de ZachXBT de que as carteiras são “lixo completo”
