Consensys确认朝鲜承包商曾访问MetaMask代码长达一个月

Consensys确认一名朝鲜关联承包商曾访问 Mask代码长达一个月

  Consensys披露，一名与朝鲜有关联的承包商（使用化名）通过一家与该公司有现有关系的第三方服务提供商被引入后，从3月9日起获得了对 Mask相关代码的贡献权限，直到2026年4月访问被终止，窗口期约为一个月。

  Consensys总法律顾问Matt Corva表示，该个人与朝鲜有关联，并确认内部警报暂停了所有产品发布，并禁止员工与这名顾问互动，等待全面调查。

JUST IN: @ Mask 已移除一名开发者，原因是他被发现与朝鲜有关联。他近一个月来一直在为其核心代码做出贡献，此前曾在Ankr、Blueberry Protocol、DEPO、Pickle Finance和Harmony工作，这五家公司均曾遭受过攻击。pic.twitter.com/RpHznqWp0n — SolanaFloor (@SolanaFloor) 2026年7月19日

  Corva表示，调查未发现资产或数据被挪用，未发现恶意代码被部署到生产环境，也未对用户安全或保障造成影响。

  Consensys已通知执法部门并提供了所有相关信息。这一结果意味着 Mask用户并未受到直接影响，但核心钱包和移动代码的访问窗口期长达一个月，这一结构性隐患仍是未解的难题。

访问窗口与代码范围：承包商接触了什么，Consensys的调查覆盖了哪些内容

  该承包商从3月9日起参与 Mask代码工作，直到Consensys在2026年4月切断访问。代码贡献涉及 Mask相关代码，但未公开识别出其他系统或代码库在范围内。

  Consensys的声明证实，公司迅速识别了威胁，遵循既定安全协议，立即终止访问，随后启动了全面审查。

  4月内部警报暂停了产品发布，这也表明Consensys拥有一个预定义的机制，在可疑访问正在调查时暂停变更。这一程序细节对任何评估事件响应设计的钱包或协议团队都有参考意义。

  此后，Consensys已审查其第三方服务实践，使得适用于直接员工的审查标准现在扩展到更复杂的外部关系中。

  近期一些帖子错误地陈述了几个月前发生的一起安全事件的关键事实。

  今年早些时候，我们识别并控制了一名通过第三方提供商聘用的顾问带来的威胁。

  该个人从未是Consensys的员工……— Consensys.eth (@Consensys) 2026年7月19日

朝鲜IT工作者渗透模式： Mask事件如何符合已记录威胁类别

   Mask事件凸显了一个日益增长的趋势：朝鲜IT工作者通过远程承包商使用虚假身份渗透加密开发团队。

  联邦调查局咨询PSA250123警告称，朝鲜特工利用公司访问权限复制代码库，敦促严格的身份验证、限制访问控制以及定期审计人员公司。由于背景调查不一致，朝鲜行为者依赖承包商渠道。

  朝鲜加密业务的规模突显了钱包基础设施为何成为首要目标。TRM Labs估计，过去一年中，朝鲜参与了相当大比例的加密货币盗窃案。

  一个由以太坊资助的项目在各加密项目中识别出了疑似朝鲜工作者。美国当局已起诉多起案件，其中朝鲜特工访问了近70家美国公司，为朝鲜创造了超过120万美元的收益。

  据CryptoSlate报道，操作层面的入侵（如密钥和批准系统问题）在2026年初约占被盗加密货币价值的76%。

  这一差距凸显了访问和身份控制比合约层面审计更为重要，因为一个拥有访问权限的承包商，面对一个拥有3000万个地址的钱包，构成了重大风险。

化名构建与承包商审查失败：'Tyler Knapp'揭示了第三方访问风险

   Mask加密钱包险些被朝鲜黑客攻击。

   Mask开发者Consensys发现，一名朝鲜黑客以假身份在 Mask团队中待了大约一个月，并参与了核心钱包代码的开发。

  该人使用的名字是"Tyler……"pic.twitter.com/8BfsDVJ4T5 — RU (@0xrurik) 2026年7月20日

  该承包商通过一家信誉良好的第三方关系被引入Consensys。Corva将该个人与朝鲜关联，并指出其GitHub用户名为'imyugioh'。

  这凸显了朝鲜IT工作者使用的一种策略：利用招聘渠道而非暴力凭证盗窃。 Mask的安全指南警告，恶意工作者可以冒充身份并伪造远程岗位的文件，建议采取硬件身份验证和背景调查等措施。

  该事件突显了第三方关系造成的供应链安全缺口。Consensys未披露3月9日之前对承包商的审查流程，也未说明第三方提供商是否进行了背景调查。