Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
O código MetaMask foi aberto a um empreiteiro ligado à Coreia do Norte por um mês antes que a Consensys interrompesse os lançamentos
Um contratado contratado por meio de um fornecedor terceirizado trabalhou no código MetaMask de 9 de março até que a Consensys cortou o acesso em abril. Posteriormente, a Consensys descreveu a pessoa como ligada à Coreia do Norte.
A Consensys disse que sua investigação não encontrou apropriação indébita de ativos ou dados, nenhuma implantação de código malicioso e nenhum impacto na segurança do usuário. O conselheiro geral Matt Corva disse que a empresa identificou a ameaça rapidamente, encerrou o acesso, lançou uma investigação abrangente e notificou as autoridades.
Soltar site relatado que um alerta interno de abril ordenou a suspensão de todos os lançamentos de produtos enquanto se aguarda a investigação e disse à equipe para não interagir com o consultor. Corva considerou o relacionamento com o prestador de serviços respeitável e disse que a Consensys revisou desde então suas práticas de serviços terceirizados, de modo que os padrões rigorosos aplicados aos funcionários também abrangem relacionamentos externos mais complexos.
As verificações do contratante precisam de limites de repositório
O incidente não dá nenhuma indicação de que contas de usuários ou ativos de carteira tenham sido comprometidos. O relacionamento existente da Consensys com o fornecedor ainda deixava uma lacuna: cada contratante e conta precisava de suas próprias salvaguardas.
Segurança geral do MetaMask orientação alerta que trabalhadores mal-intencionados podem usar identidades falsas e documentos forjados para obter funções remotas. Recomenda verificações usando documentos reais, múltiplas entrevistas, autenticação de hardware, verificação de IP e localização, verificações de referência e limites de acesso a sistemas críticos.
O O FBI alertou separadamente que os trabalhadores de TI norte-coreanos usaram o acesso à rede da empresa para copiar repositórios de código. Sua orientação exige verificação de identidade durante entrevistas, integração e durante todo o emprego, auditorias de rotina de empresas terceirizadas, acesso com privilégios mínimos e monitoramento de conexões remotas incomuns ou exfiltração de repositórios.
Após a integração, as permissões e a revisão do repositório tornam-se as principais salvaguardas. Centro Nacional de Segurança Cibernética do Reino Unido orientação recomenda tornar a atividade do repositório atribuível, revisar todas as alterações vinculadas à produção, aplicar um exame minucioso extra às contribuições externas e revogar o acesso rapidamente quando ele não for mais necessário. Credenciais apoiadas por hardware podem proteger uma conta contra roubo de credenciais, enquanto permissões com escopo restrito e revisão independente limitam o que uma conta autorizada pode alterar.
CryptoSlate relatado em 5 de julho que os compromissos operacionais em torno de chaves, custódia, sistemas de assinatura e aprovação representaram cerca de 76% do valor roubado durante o primeiro semestre de 2026, embora as explorações de contratos inteligentes fossem mais frequentes. Essa lacuna mostra por que o acesso e os controlos operacionais são importantes, mesmo quando são responsáveis por menos incidentes.
As equipes de carteira e protocolo devem tratar o acesso do contratante como continuamente condicional. As verificações de identidade devem estender-se através do emprego, as empresas terceirizadas devem ser auditadas, os privilégios dos repositórios devem permanecer restritos e observáveis, todas as alterações vinculadas à produção devem receber revisão independente e o acesso deve ser revogado assim que não for mais necessário.
A pausa na versão de abril da Consensys também mostra o valor de manter uma maneira predefinida de interromper alterações enquanto o acesso suspeito é investigado.
