Agent Kima pisał kod portfela MetaMask. Kreta z Korei Północnej wykryto dopiero po miesiącu

Consensys, spółka stojąca za portfelem MetaMask, przez blisko miesiąc nieświadomie zatrudniała programistę powiązanego z Koreą Północną. Mężczyzna posługiwał się fałszywą tożsamością „Tyler Knapp” i kontem GitHub o nazwie „imyugioh”. Do firmy trafił jako konsultant, za pośrednictwem zewnętrznego dostawcy usług, z którym Consensys współpracował już wcześniej. Sprawę ujawnił portal śledczy Drop Site News, powołując się na wewnętrzną korespondencję pracowników.

Z tego tekstu dowiesz się:

jak deweloper powiązany z KRLD dostał się do zespołu MetaMask i nad czym pracował,
jak zareagował Consensys i czy użytkownicy portfela mieli powody do obaw,
z jakimi projektami „Tyler Knapp” miał być związany wcześniej,
dlaczego północnokoreańscy informatycy to rosnący problem całej branży krypto.

Consensys wstrzymał wydania i zawiadomił służby

Skala potencjalnego zagrożenia była poważna. Z zapisów wewnętrznego Slacka i publicznej historii konta GitHub wynika, że „Knapp” pracował nad kodem platformy MetaMask oraz aplikacji mobilnej portfela, w tym nad modułami łączącymi użytkowników z zewnętrznymi dostawcami płatności przy wymianie kryptowalut na waluty fiducjarne. Pierwsze zmiany w repozytorium wprowadził 9 marca. Jego aktywność urwała się w kwietniu, gdy firma odcięła mu dostępy. Z MetaMask korzysta ponad 30 milionów osób miesięcznie, a moduły odpowiedzialne za przepływ środków między krypto a pieniądzem tradycyjnym należą do najbardziej wrażliwych elementów całej układanki.

Radca prawny Consensys Matt Corva zapewnił w oświadczeniu dla Drop Site, że zagrożenie wykryto szybko po wprowadzeniu konsultanta do zespołu. Firma natychmiast odebrała mu dostępy i wszczęła wewnętrzne śledztwo, które według jej deklaracji nie wykazało kradzieży aktywów ani danych, wdrożenia złośliwego kodu ani żadnego wpływu na bezpieczeństwo użytkowników. Na czas dochodzenia wstrzymano wszystkie wydania produktów, a pracownikom polecono unikać kontaktu z podejrzanym. Spółka zawiadomiła też organy ścigania i zapowiedziała zaostrzenie weryfikacji osób zatrudnianych przez zewnętrznych pośredników. Nie wyjaśniła przy tym, w jaki sposób ustaliła powiązania dewelopera z reżimem w Pjongjangu.

Ciekawie wygląda sam ślad, jaki „Knapp” zostawił w sieci. Publiczny profil imyugioh na GitHubie ozdobiony jest awatarem z bohaterem anime Yu-Gi-Oh!, a opisy repozytoriów prowadzone są równolegle po angielsku i chińsku. Wśród przypiętych projektów widnieją nie tylko repozytoria MetaMask, ale też kontrakty multisig i portfel przeglądarkowy Harmony. Według wpisu serwisu SolanaFloor deweloper miał wcześniej pracować przy projektach Ankr, Blueberry Protocol, DEPO, Pickle Finance i właśnie Harmony, a każdy z nich padł w przeszłości ofiarą ataku hakerskiego. Sam Harmony stracił w 2022 roku około 100 milionów dolarów w głośnym włamaniu na most Horizon, które FBI przypisało północnokoreańskiej grupie Lazarus. Tych wcześniejszych powiązań Consensys oficjalnie nie potwierdził.

Branża krypto na celowniku Pjongjangu

Przypadek MetaMask wpisuje się w znacznie szerszy schemat. Północnokoreańscy informatycy od lat podszywają się pod zachodnich programistów, by zdobywać zdalne posady w firmach technologicznych, wyprowadzać środki lub zostawiać sobie furtki w kodzie. Finansowany przez ekosystem Ethereum projekt badawczy zidentyfikował w ciągu pół roku około 100 podejrzanych pracowników KRLD w 53 projektach kryptowalutowych.

Według firmy analitycznej TRM Labs na Koreę Północną przypadła ponad połowa z 2,7 miliarda dolarów skradzionych w atakach na branżę w 2025 roku, w tym rekordowe 1,5 miliarda dolarów z giełdy Bybit. Analitycy ostrzegają, że środowiska deweloperskie stały się dziś najkrótszą drogą do kluczy i systemów autoryzujących wypłaty, dlatego infiltracja zespołów programistycznych bywa groźniejsza niż klasyczne włamanie z zewnątrz.

Dla Consensys sprawa kończy się bez strat finansowych, ale z rysą na wizerunku. Firma buduje pozycję na zaufaniu milionów użytkowników przechowujących środki w MetaMask, a ci właśnie dowiedzieli się, że przez miesiąc przy kodzie ich portfela pracował człowiek, którego prawdziwej tożsamości nikt nie znał.

Redakcja BitHub.pl poleca również:

Dziękujemy, że przeczytałeś/aś nasz artykuł do końca. Obserwuj nas w Wiadomościach Google i bądź na bieżąco!