Nordkoreanischer Entwickler war einen Monat im MetaMask-Team

Consensys meldete keinen Missbrauch von Assets oder Daten, doch der Fall zeigt, wie anfällig Contractor- und Codeprozesse bei Wallets wie MetaMask sind. Auch das FBI und TRM Labs warnen vor nordkoreanischem Social Engineering.

Wichtigste Erkenntnisse

• Consensys hat einen nordkoreanischen Entwickler aus dem MetaMask-Team entfernt, nachdem er rund einen Monat lang Zugriff auf den Code hatte.
• Der Mann arbeitete über eine Contractor-Struktur unter falschem Namen, ein Missbrauch von Assets oder Daten wurde nicht festgestellt.
• Der Fall zeigt, wie sensibel Entwicklungsumgebungen und das Screening von Contractors in der Kryptobranche sind.

Consensys hat einen nordkoreanischen Entwickler aus dem MetaMask-Team entfernt, nachdem er etwa einen Monat lang Zugriff auf den Code der bekannten Krypto Wallet hatte. Nach Angaben des Kryptounternehmens trat der Mann unter falscher Identität auf, ein Abfluss von Assets oder Daten wurde jedoch nicht festgestellt. Der Vorfall zeigt trotzdem, wie verwundbar Entwicklungsumgebungen in der Kryptobranche sein können.

Zugang über Contractor

Der Entwickler war über eine Contractor-Struktur eingebunden und damit kein fest angestellter Mitarbeiter. Auf GitHub verwendete er den Namen imyugioh, intern lief er unter Tyler Knapp. Zwischen dem 9. März und April steuerte er Code für Teile der Wallet bei, darunter auch Funktionen, die Geldflüsse zwischen Krypto und Cash unterstützen.

Sobald Consensys den Fall bemerkte, wurde der Zugang umgehend gesperrt. General Counsel Matt Corva informierte die Mitarbeiter im April außerdem darüber, dass alle Produktveröffentlichungen gestoppt werden müssten und der Kontakt zu dem Mann zu vermeiden sei. Das Unternehmen meldete den Vorfall den Behörden und überprüft nun erneut seine Prozesse für das Screening von Contractors.

Breiteres Muster bei Nordkorea

Der Fall fügt sich in ein breiteres Muster ein, bei dem sich nordkoreanische Gruppen als Remote-Entwickler ausgeben, um Zugang zu Kryptounternehmen zu erhalten. Cybersecurity-Unternehmen beobachten solche Social-Engineering-Angriffe nach eigenen Angaben immer häufiger, teils mit KI-gestützten Methoden wie gefälschten Bewerbungen oder manipulierten Coding-Assignments. Auch das FBI hat bereits vor falschen IT-Mitarbeitern gewarnt, die über US-amerikanische Unternehmen Krypto erbeuten.

Für den Kryptomarkt ist vor allem relevant, dass solche Angriffe nicht nur Exchanges oder Wallets betreffen, sondern auch die Softwarekette dahinter. TRM Labs zufolge gehören Entwicklerumgebungen inzwischen zu den schnellsten Wegen, um Systeme zu erreichen, die Withdrawals freigeben. Damit rückt das Screening von Mitarbeitern und Contractors noch stärker in den Fokus der Sicherheit großer Krypto-Plattformen.

Bedeutung für Europa

Für europäische Krypto-Nutzer ist der Fall relevant, weil viele Wallets und Apps auf internationale Entwicklungsteams und externe Contractors setzen. Wenn selbst ein Unternehmen wie Consensys zeitweise betroffen ist, zeigt das, dass Security nicht nur mit Wallets und Keys zu tun hat, sondern auch mit dem Zugang zu Code und Release-Prozessen. In einem Markt, in dem Vertrauen einen wesentlichen Teil der Infrastruktur ausmacht, dürfte das auch für europäische Anbieter ein wichtiges Warnsignal sein.