นักพัฒนาที่ถูกเชื่อมโยงกับเกาหลีเหนือสามารถทำงานบนซอร์สโค้ดของ MetaMask ได้ราวหนึ่งเดือน ก่อนที่ Consensys จะตรวจพบตัวตนที่แท้จริง ยกเลิกสิทธิ์การเข้าถึง และยืนยันว่าไม่มีทรัพย์สินหรือข้อมูลสูญหาย
ประเด็นสำคัญ
- ใช้ตัวตนปลอม แฝงตัวเข้าบริษัทผ่านผู้ให้บริการบุคคลที่สาม
- งานที่รับผิดชอบครอบคลุมโค้ดแกนกลางกระเป๋าเงิน และฟีเจอร์เชื่อมคริปโทกับบริการชำระเงินแบบฟิเอต
- Consensys ระงับการออกรุ่นซอฟต์แวร์ แจ้งหน่วยงานรัฐ และเริ่มทบทวนมาตรการคัดกรองผู้รับเหมา
การแทรกซึมใน MetaMask
ที่ปรึกษารายนี้ ใช้ ชื่อปลอมว่า Tyler Knapp พร้อมบัญชี GitHub ชื่อ “imyugioh” โดยเข้ามาผ่านบริษัทผู้รับเหมาที่ Consensys ใช้งานอยู่แล้ว การคอมมิตโค้ดของเขาปรากฏระหว่างวันที่ 9 มี.ค. จนถึงช่วงเดือนเมษายน ทำให้มีเวลาราวหนึ่งเดือนอยู่ในสภาพแวดล้อมพัฒนากระเป๋าเงิน
ข้อความภายในบริษัทระบุว่า Knapp ทำงานบนแพลตฟอร์มแกนหลักของ MetaMask และบางส่วนของแอปมือถือ รวมถึงโค้ดที่รองรับการแปลงคริปโทเป็นเงินฟิเอตผ่านผู้ให้บริการชำระเงินภายนอก เมื่อบริษัทตรวจพบความเสี่ยง ที่ปรึกษากฎหมายใหญ่ Matt Corva ได้สั่งให้ทีมระงับการปล่อยผลิตภัณฑ์รุ่นใหม่ และหลีกเลี่ยงการติดต่อกับที่ปรึกษารายนี้ จากนั้น Consensys จึงยุติสิทธิ์การเข้าถึงระบบทั้งหมด
“เราได้ค้นพบภัยคุกคาม … และเปิดการสืบสวนเชิงลึก ซึ่งยืนยันว่าไม่มีการยักย้ายถ่ายเททรัพย์สินหรือข้อมูล ไม่มีโค้ดอันตรายถูกดีพลอย และไม่กระทบต่อความปลอดภัยของผู้ใช้” Corva กล่าว พร้อมเสริมว่าบริษัทได้แจ้งหน่วยงานบังคับใช้กฎหมาย และทบทวนกระบวนการคัดกรองวิศวกรภายนอกใหม่
อ่านเพิ่มเติม: ผู้บริหารเตือน 6 หน่วยงานรัฐพลาดเส้นตายออกกฎตามกฎหมาย GENIUS Act
ความเสี่ยงด้านการจ้างงานในคริปโท
กรณีนี้สะท้อนให้เห็นว่า เพียงบัญชีนักพัฒนาก็สามารถเปิดช่องให้เข้าถึงซอร์สโค้ด และระบบลงนามธุรกรรมได้ โดยไม่จำเป็นต้องเจาะทะลวงระบบจากภายนอก
TRM Labs เคยเตือนว่าหากสภาพแวดล้อมการพัฒนาซอฟต์แวร์ถูกเจาะ อาจกลายเป็นช่องทางตรงสู่โครงสร้างพื้นฐานที่ใช้อนุมัติและส่งคำสั่งโอนเงิน
เหตุการณ์นี้เกิดขึ้นท่ามกลางปฏิบัติการขนาดใหญ่ ที่แรงงานจากเกาหลีเหนือใช้ตัวตนปลอมสมัครทำงานด้านเทคโนโลยีระยะไกล โปรแกรมที่ได้รับทุนจาก Ethereum (ETH) ระบุว่า ตรวจพบผู้ต้องสงสัยราว 100 รายกระจายอยู่ใน 53 โปรเจกต์คริปโท ภายในเวลาเพียงหกเดือน ขณะที่ศาลสหรัฐฯ ก็มีคำตัดสินลงโทษชาวอเมริกันที่ช่วยให้แรงงานเหล่านี้ดูเสมือนว่าทำงานจากในประเทศ
ความเสี่ยงทางการเงินยังคงสูงลิ่ว FBI ระบุว่าการขโมยสินทรัพย์มูล่าประมาณ 1.5 พันล้านดอลลาร์จาก Bybit ในปี 2025 มีเบื้องหลังคือแฮ็กเกอร์เกาหลีเหนือ ขณะที่ประมาณการจากอุตสาหกรรมชี้ว่า ประเทศดังกล่าวเกี่ยวข้องกับความสูญเสียจากการโจรกรรมคริปโทมากกว่าครึ่งของโลกในปีเดียวกัน
ปฏิบัติการของเกาหลีเหนือมีแนวโน้มผสมผสานการรับสมัครปลอม การทำงานระยะไกล และการแฮ็กเชิงเทคนิคเข้าด้วยกัน แทนที่จะพึ่งช่องทางใดช่องทางหนึ่งเพียงอย่างเดียว Consensys สามารถหยุดผู้รับเหมารายนี้ได้ก่อนพบความเสียหาย แต่เหตุการณ์ดังกล่าวตอกย้ำรูปแบบการโจมตีที่ทำให้บริษัทคริปโทเร่งยกระดับการยืนยันตัวตน และแบ่งปันข้อมูลภัยคุกคามกันมากขึ้น
อ่านต่อ: Trezor โต้กลับข้อกล่าวหาของ ZachXBT ที่ว่า “กระเป๋าเงินห่วยแตกสิ้นดี”
