MetaMask phát hiện lập trình viên Triều Tiên ngầm lọt vào đội ngũ

Lập trình viên Triều Tiên lọt vào MetaMask như thế nào?

Một lập trình viên Triều Tiên đã hoạt động khoảng một tháng trong đội ngũ MetaMask – ví crypto hàng đầu với hơn 30 triệu người dùng mỗi tháng – mà công ty mẹ Consensys không hề biết thân phận thực sự của người này. Anh ta sử dụng tên giả Tyler Knapp, tham gia viết code lõi của ví, bao gồm cả phần xử lý chuyển đổi giữa crypto và tiền pháp định.

Kênh xâm nhập là thông qua nhà thầu. Consensys thuê người này với tư cách tư vấn viên chứ không phải nhân viên chính thức. Trên GitHub, anh ta dùng handle imyugioh. Các thay đổi code diễn ra từ ngày 9 tháng 3 đến tháng 4, khi công ty cắt quyền truy cập.

Cách hoạt động này khiến giới điều tra lo ngại. Công ty tình báo TRM Labs cho biết hình thức xâm nhập qua lập trình viên hiện là con đường nhanh nhất để tiếp cận khóa của các công ty crypto. Kẻ tấn công có thể dùng quyền truy cập này để tiếp cận hệ thống phê duyệt rút tiền.

Consensys phản ứng kịp thời

Tháng 4, tổng cố vấn pháp lý Matt Corva đã yêu cầu nhân viên tạm dừng mọi phát hành sản phẩm và tránh tiếp xúc với người này. Công ty cũng đã báo cáo cho cơ quan thực thi pháp luật và đang rà soát lại quy trình kiểm duyệt nhà thầu.

Trong một tuyên bố gửi Drop Site News, Matt Corva cho biết: "Chúng tôi đã phát hiện mối đe dọa… và tiến hành điều tra toàn diện, xác nhận không có tài sản hay dữ liệu nào bị chiếm đoạt, không có mã độc nào được triển khai, và không ảnh hưởng đến an toàn người dùng."

Triều Tiên liên tục nhắm vào ngành crypto

Đây không phải sự kiện lẻ tẻ. Lực lượng lao động IT Triều Tiên thường giả danh kỹ sư để xin việc từ xa, sau đó đánh cắp bí mật hoặc tạo đường xâm nhập trở lại. Một dự án được tài trợ bởi Ethereum gần đây phát hiện 100 lao động IT nghi là người Triều Tiên hoạt động trên 53 dự án crypto.

Thủ đoạn thường bắt đầu bằng lời mời việc giả hoặc nhà tuyển dụng mạo danh. Tòa án Mỹ đã kết án công dân Mỹ hỗ trợ các lao động này che giấu nguồn gốc thật.

Mức độ rủi ro rất lớn. Năm ngoái, hacker Triều Tiên đã đánh cắp 1,5 tỷ USD từ sàn Bybit theo FBI. TRM Labs cho biết quốc gia này chiếm hơn một nửa trong số 2,7 tỷ USD bị mất do hack crypto trong năm 2025.

Một số công ty crypto đang phản công bằng cách chia sẻ thông tin tình báo mối đe dọa để phát hiện sớm. Consensys đã bắt được trường hợp này đúng lúc. Bài kiểm tra lớn là liệu công ty tiếp theo có phát hiện nhân viên giả của mình trước khi code đó được đưa vào sản xuất.