Consensys称与朝鲜关联的开发者曾参与MetaMask代码开发

一份周五下午的报道披露，MetaMask钱包背后的公司Consensys通过第三方服务提供商无意中录用了一名与朝鲜有联系的软件开发人员。安全团队识别出风险后立即撤销了其访问权限，该公司坚称没有执行恶意代码、没有触碰用户资金、也没有数据泄露。这名开发者使用化名“Tyler Knapp”，并参与了MetaMask内加密货币与法币转换功能的开发。

欧易(OKX)

全球三大交易所之一，注册领50U数币盲盒，币圈常用的交易平台！

立即注冊立即下载

币安(Binance)

币安是世界领先的数字货币交易平台，注册领100U。

立即注冊立即下载

这一消息爆出之际，加密货币领域的供应链攻击已不再是理论上的威胁。朝鲜的国家支持黑客组织惯于在加密项目中安插操作人员，以窃取资金、操纵智能合约或窃取敏感数据。仅Lazarus Group就与超过30亿美元的加密货币盗窃案有关。像MetaMask这样拥有数千万用户的广泛基础设施项目，竟可能通过看似常规的承包商关系成为目标，这凸显了招聘渠道的漏洞有多大。

Consensys迅速采取行动控制事态。开发者的访问权限被撤销，公司表示内部审查确认没有资产或数据受损，没有部署恶意代码，用户未受影响。这比起可能的后果要好得多，但并未消除一个问题：该人员拥有访问权限多长时间，以及在其贡献期间到底审查了什么内容。

一个成熟的渗透套路

朝鲜操作人员使用虚假身份在加密公司获得职位并不新鲜。2022年Axie Infinity Ronin桥黑客攻击，盗走超过6亿美元，就是通过一个虚假的工作机会欺骗了一名高级工程师。此后，多个项目报告了类似企图，模仿合法招聘模式进行渗透。MetaMask案例完全符合这一套路——利用第三方服务提供商将开发者悄悄放入构建管道，然后等待。这一事件之所以独特，在于其目标。MetaMask处于Web3的核心位置，是数百万用户与去中心化应用交互的主要网关。一旦转换功能被攻破，资金可能在法币入金或出金环节被截获——这可以说是任何用户流程中最敏感的部分。没有造成损失是因为检测到了，而非没有意图。

多链世界中的供应链风险

数千名开发者在数十个区块链和钱包项目中贡献代码，渗透的接触面巨大。近期关于顶级区块链开发者活动的数据显示，以太坊、BNB Chain和Polygon在参与度上领先，但这些生态系统都依赖第三方贡献者，他们的审查可能并不严格。作为以以太坊为中心的钱包，MetaMask位于许多开发者流量的交汇点，因此与其支持的区块链一样，成为高价值目标。对于加密项目而言，这一事件是一个警钟：必须加强承包商审查、实施细粒度访问控制，并实时审计贡献，而非事后追溯。即使是短暂的疏忽，也可能让老练的对手获得立足点，并在访问权限被撤销后长期存在，尤其是如果依赖项或库文件被修改过。

仍不确定的问题

Consensys尚未披露该开发者在账户被终止前拥有访问权限多长时间，也未说明撤销权限后的代码审查是否发现了任何可疑模式。尽管公司表示用户未受影响，但市场将关注后续的披露或外部审计。公司的声誉很大程度上依赖于用户对其钱包软件的信任，即使是一次未造成经济损失的事件，如果沟通被认为不完整，也可能削弱这种信任。目前，这一事件提醒人们，无论经过多少实战考验，钱包基础设施仍然是国家级攻击者的首要目标。随着朝鲜不断完善其加密货币渗透方法，合法贡献者与国家支持的操作人员之间的界限将越来越难以区分。