Подрядчик, связанный с КНДР, проник в MetaMask на месяц: истинная уязвимость криптопроектов — не в коде

Автор: Лиам «Акиба» Райт

Компиляция: TechFlow

TechFlow: Один из подрядчиков, связанных с КНДР, через стороннего поставщика получил доступ к репозиторию кода MetaMask и работал там с 9 марта до тех пор, пока его не лишили доступа в апреле. Хотя Consensys заявила об отсутствии признаков кражи активов или внедрения вредоносного кода, этот инцидент выявил критическую уязвимость в управлении аутсорсингом криптопроектов: 76% средств, похищенных в DeFi-секторе, теряются из-за нарушения операционных прав доступа, а не из-за уязвимостей в коде.

Подрядчик, привлеченный Consensys через стороннего поставщика, начал работу с кодом MetaMask 9 марта и сохранил доступ до апреля. Позже Consensys описала данного специалиста как связанного с КНДР.

В Consensys заявили, что расследование не выявило кражи каких-либо активов или данных, не было зафиксировано внедрение вредоносного кода, и угрозы безопасности пользователей также отсутствуют. Главный юрисконсульт Мэтт Корва сообщил, что компания оперативно идентифицировала угрозу, отключила доступ, провела комплексное расследование и уведомила правоохранительные органы.

По данным издания Drop Site, во внутренней рассылке апреля требовалось приостановить все релизы продуктов в рамках расследования и предупредить сотрудников не взаимодействовать с данным консультантом. Корва отметил хорошие отношения с этим поставщиком услуг, после чего Consensys пересмотрела свои практики работы с третьими лицами и распространила строгие внутренние стандарты на более сложные внешние взаимодействия.

Проверка подрядчиков требует ограничения доступа к репозиториям кода

Не было зафиксировано признаков компрометации пользовательских аккаунтов или активов в кошельках. Существующие партнерские отношения Consensys с поставщиком все еще содержат уязвимости: для каждого подрядчика и учетной записи необходимы собственные меры защиты.

Общие рекомендации по безопасности MetaMask предупреждают, что злонамеренные специалисты могут получить удаленную должность, используя фальшивые личности и поддельные документы. Рекомендуется проводить проверку по реальным документам, проходить многоэтапные собеседования, использовать аппаратную аутентификацию, проверять IP-адреса и геолокацию, проводить проверки биографии, а также ограничивать доступ к критически важным системам.

ФБР дополнительно предупреждает, что ИТ-специалисты из КНДР используют корпоративный сетевой доступ для копирования репозиториев кода. Их руководства требуют проведения аутентификации на этапах собеседования, найма и в течение всего срока службы, регулярного аудита кадровых агентств на стороне, применения принципа наименьших привилегий, а также мониторинга подозрительных удаленных подключений и утечек кодовой базы.

Права доступа к репозиторию кода и аудит являются ключевой мерой защиты

После трудоустройства управление правами доступа к репозиторию и аудит становятся основными защитными мерами. Рекомендации Национального центра кибербезопасности Великобритании предполагают обеспечение отслеживаемости действий в репозитории, проверку изменений в каждой продуктивной среде, дополнительный аудит внешних внесений и оперативное отключение доступа при отсутствии в нем необходимости. Аппаратные токены безопасности защищают аккаунты от кражи учетных данных, а строго ограниченные права и независимый аудит позволяют минимизировать риски несанкционированных изменений авторизованными учетными записями.

CryptoSlate сообщало 5 июля, что в первой половине 2026 года на операционные атаки вокруг систем ключей, хостинга, подписи и утверждения транзакций пришлось около 76% всех украденных средств, несмотря на более частое наличие уязвимостей в смарт-контрактах. Этот разрыв демонстрирует, почему контроль доступа и операционные механизмы имеют решающее значение, даже если они провоцируют меньше инцидентов.

Командам разработки кошельков и протоколов следует рассматривать доступ подрядчиков как условный и подлежащий постоянному пересмотру. Проверка личности должна проводиться на протяжении всего периода сотрудничества, сторонним компаниям необходимо регулярно проводить аудит, права доступа к репозиторию должны быть строго ограничены и прозрачны для мониторинга, все изменения в продуктивной среде — проходить независимую проверку, а доступ должен немедленно отзываться при возникновении потребности в его прекращении.

Приостановка релизов Consensys в апреле также продемонстрировала ценность наличия заранее определенного механизма остановки изменений для использования в ходе расследований подозрительного доступа.