Потрясло! Материнская компания MetaMask «ошибочно наняла» инженеров из Северной Кореи, а вредоносный код проник в ядро программы за 1 месяц — начато срочное расследование

区块链软件公司 Consensys подтвердил: в этом году ранее, не зная об этом, компания наняла программного инженера, связанного с правительством Северной Кореи. Под псевдонимом «Tyler Knapp» он проникал в системы компании до 1 месяца. После того как инцидент был раскрыт, компания экстренно приостановила все релизы продуктов и начала расследование.
(Предыстория: раскрыты способы северокорейского проникновения в криптосферу: Sushi и более 10 Web3-компаний ошибочно наняли северокорейского “подпольщика”)
(Дополнение к контексту: северокорейский инженер проникал в криптосферу 7 лет, было затронуто 40 DeFi-протоколов: Lazarus привлекала аутсорсингом не корейцев; стратегии защиты уже устарели)

Оглавление

Toggle

• Ключевой код кошелька был заражён
• Consensys: ни активы, ни данные не были украдены
• Северокорейское проникновение через подставной найм — не первый случай

Важная инфраструктурная компания для Ethereum Consensys подтвердила, что в этом году ранее, полностью не зная об этом, наняла программного инженера, связанного с правительством Северной Кореи. Он под псевдонимом «Tyler Knapp» проникал в системы компании до 1 месяца, а также в какой-то момент получал доступ к ключевому коду кошелька MetaMask.

Ключевой код кошелька был заражён

Внутренние сообщения в Slack показывают, что «Knapp» фактически участвовал в разработке кода ключевой платформы кошелька MetaMask и вносил вклад в связанные функции, отвечающие за обмен криптовалюты и фиатных денег с помощью стороннего платёжного поставщика. Иными словами, этот инженер с неизвестной личностью в какой-то момент мог касаться ключевой инфраструктуры, стоящей за кошельками миллионов пользователей.

После обнаружения аномалий юрдиректор Consensys в апреле направил предупреждение всей компании, распорядившись: «Всем релизам продуктов немедленно приостановиться, пока не будут получены результаты расследования». Компания сразу же запустила программу проверки безопасности.

Consensys: ни активы, ни данные не были украдены

Юрдиректор Consensys Matt Corva заявил CoinTelegraph: «‘Knapp’ был представлен нам через налаженное сотрудничество с авторитетным сторонним поставщиком услуг. Он работал с Consensys в качестве консультанта, и никогда не был официально нанят в Consensys как сотрудник».

Corva добавил: «Примерно через некоторое время после того, как его представили, мы обнаружили эту угрозу, сразу же прекратили весь доступ согласно протоколам безопасности и начали комплексное расследование. Расследование подтвердило, что активы или данные не были украдены, вредоносный код не был развернут, и это не повлияло на безопасность пользователей». Он также сообщил, что Consensys пересмотрит рабочие процедуры, связанные с аутсорсингом инженерных и разработческих работ.

Северокорейское проникновение через подставной найм — не первый случай

Этот случай не является первым, когда северокорейские хакерские организации проникают в криптовалютные компании с помощью подставного найма. В последние годы северокорейские связанные группы хакеров обычно используют отправку фальшивых предложений о работе или подают заявки на открытые вакансии разработчиков, чтобы получить доступ к исходному коду компаний. Затем они используют этот доступ для внедрения бэкдоров или кражи активов. По статистике, в 2025 году потери, вызванные северокорейскими хакерскими группами, выросли на 51% по сравнению с предыдущим годом, что показывает, что такие методы проникновения продолжают расширяться.

Хотя Consensys на этот раз не привела к реальным потерям активов, ключевой код кошелька некоторое время был в руках инженера с неизвестной личностью. Это снова подчёркивает уязвимости в криптоиндустрии в сфере аутсорсинга и удалённого найма, а также заставляет весь сектор быть ещё более настороженным по поводу вопроса «кто пишет ваш код».