Północnokoreański programista pracował przy MetaMask

Consensys wykrył, że programista z Korei Północnej przez około miesiąc pracował nad portfelem MetaMask. Używał fałszywego nazwiska Tyler Knapp i konta na GitHubie pod pseudonimem imyugioh. Został zatrudniony przez zewnętrznego wykonawcę jako konsultant, nie jako pracownik etatowy. Dokonywał zmian w kodzie od 9 marca do kwietnia, kiedy firma odcięła mu dostęp.

Część zmian dotyczyła mechanizmów obsługi przepływów między kryptowalutami a gotówką. Po ustaleniu tożsamości Consensys odcięła dostęp do środowisk deweloperskich, zawiadomiła organy ścigania i w kwietniu, na polecenie głównego radcy prawnego Matta Corvy, wstrzymała wszystkie premiery produktów oraz zaleciła zespołom unikanie kontaktu z tą osobą.

W oświadczeniu firma poinformowała: „Odkryliśmy zagrożenie i rozpoczęliśmy kompleksowe śledztwo, które potwierdziło brak przywłaszczenia aktywów lub danych, brak wdrożenia złośliwego kodu oraz brak wpływu na bezpieczeństwo i ochronę użytkowników.” Consensys deklaruje przegląd procedur weryfikacji wykonawców.

Firma analityczna TRM Labs ostrzega, że dostęp do narzędzi deweloperskich i kont na platformach typu GitHub jest jedną z najszybszych dróg do przejęcia kluczy i systemów firm kryptowalutowych. Atakujący, mając taki dostęp, mogą zatwierdzać wypłaty lub wprowadzać zmiany umożliwiające oszustwa. W odpowiedzi niektóre podmioty z branży zaczęły intensywniej wymieniać się informacjami o zagrożeniach.

Incydent wpisuje się w szerszy wzór nadużyć. Projekty kryptowalutowe wcześniej identyfikowały przypadki osób z Korei Północnej podszywających się pod lokalnych inżynierów i działających zdalnie. Jeden projekt powiązany z Ethereum zidentyfikował około 100 podejrzanych północnokoreańskich specjalistów w 53 projektach. Amerykańskie sądy skazały także osoby z USA za pomoc w maskowaniu tożsamości takich pracowników.

Służby i firmy oceniły, że państwowe grupy hakerskie z Korei Północnej odgrywały istotną rolę w kradzieżach z giełd i projektów kryptowalutowych. FBI podało, że w ubiegłym roku z giełdy Bybit skradziono 1,5 mld USD. Analizy rynkowe wskazują, że w 2025 roku łączne straty z włamań do sektora kryptowalut wyniosły 2,7 mld USD, z czego ponad połowę przypisywano działaniom z Korei Północnej.

Consensys kontynuuje przegląd procedur bezpieczeństwa i procesów zatrudniania wykonawców. Firma podkreśla, że dotychczasowe dochodzenie nie wykazało utraty aktywów ani wpływu na użytkowników.