Consensys ha suspendido temporalmente los lanzamientos de productos después de que un consultor vinculado a Corea del Norte obtuviera acceso a sus sistemas durante aproximadamente un mes.
Drop Site News informó que el desarrollador se unió a la empresa de software de Ethereum bajo el alias “Tyler Knapp” y usó el nombre de usuario de GitHub “imyugioh”. Los registros públicos de GitHub revisados por el medio mostraron que el consultor comenzó a contribuir código el 9 de marzo antes de que su acceso finalizara en abril.
Mensajes internos obtenidos por Drop Site mostraron que Knapp trabajó en el código central de la plataforma MetaMask, incluyendo secciones utilizadas para conectar a los usuarios de cripto con proveedores de pago fiduciario de terceros. Consensys suspendió los lanzamientos de productos durante su investigación e instruyó al personal a evitar el contacto con el consultor, según el informe.
El consejero general de Consensys, Matt Corva, dijo a Drop Site que un proveedor de servicios externo establecido presentó a Knapp a la empresa. Corva enfatizó que Consensys lo trató como un consultor en lugar de un empleado directo.
“Muy rápidamente después de ser presentado, descubrimos la amenaza, seguimos nuestros protocolos de seguridad, terminamos inmediatamente cualquier acceso y lanzamos una investigación exhaustiva que confirmó que no hubo apropiación indebida de activos o datos, ningún código malicioso desplegado y ningún impacto en la seguridad de los usuarios.”
Aunque Consensys no reveló pérdidas financieras, Corva dijo en un comunicado que la compañía reevaluaría cómo subcontrata el trabajo de ingeniería y desarrollo. La firma también notificó a las fuerzas del orden y proporcionó información sobre el incidente, según comunicaciones internas revisadas por Drop Site.
La investigación de Consensys no encontró evidencia de que el consultor robara datos de la empresa o activos digitales, insertara código dañino o comprometiera a los usuarios, según Corva. La compañía no explicó públicamente cómo estableció los supuestos vínculos del desarrollador con la República Popular Democrática de Corea.
Incluso sin una pérdida confirmada, el acceso de los desarrolladores puede exponer infraestructura sensible. Según TRM Labs, los entornos de desarrolladores se han convertido en una de las vías más rápidas para que los atacantes busquen acceso a sistemas que contienen claves privadas o aprueban retiros de criptomonedas.
Una investigación de seis meses respaldada por el programa ETH Rangers de la Ethereum Foundation muestra que la amenaza de contratación se extiende más allá de Consensys. El Proyecto Ketman identificó a unos 100 trabajadores de TI norcoreanos sospechosos que usaban identidades falsas en 53 proyectos de cripto y Web3, según un resumen de ETH Rangers publicado en abril.
Los investigadores de Ketman también rastrearon al menos tres grupos sospechosos en 11 repositorios de código, donde los proyectos habían fusionado 62 solicitudes de extracción (pull requests) antes de detectar la actividad. El proyecto informó que algunos solicitantes usaron imágenes de perfil generadas, documentos de identidad falsificados e identidades japonesas falsas para pasar los controles de selección.
Grupos vinculados a Corea del Norte han utilizado repetidamente identidades falsas y trabajos de ingeniería remota para acceder a empresas de tecnología. Como informó crypto.news en noviembre, el fundador de Opsek y miembro de Security Alliance, Pablo Sabbatella, advirtió en Devconnect Buenos Aires que los trabajadores norcoreanos podrían estar integrados en hasta una quinta parte de las empresas de cripto.
Sabbatella también estimó que los solicitantes norcoreanos representan aproximadamente entre el 30% y el 40% de las solicitudes de empleo recibidas por las empresas de cripto, lo que sugiere que el fraude de empleo no se limita a casos aislados.
Las empresas de cripto se enfrentan a un riesgo adicional porque los empleados y contratistas pueden recibir acceso a código, monederos y sistemas de transacción. TRM Labs estimó que Corea del Norte fue responsable del 64% del valor robado en hackeos de cripto durante 2025, cuando las pérdidas totales superaron los 2.7 mil millones de dólares. TRM Labs
Un ataque representó gran parte del daño. El FBI atribuyó el robo de aproximadamente 1.5 mil millones de dólares a Bybit en febrero de 2025 al grupo norcoreano TraderTraitor, que dispersó los activos a través de miles de direcciones de blockchain. FBI
TRM Labs informó que más de 30 intercambios y protocolos de finanzas descentralizadas ahora comparten alertas rápidas a través de su Red Beacon cuando los fondos vinculados a Corea del Norte llegan a las plataformas participantes. Para Consensys, la eliminación del consultor evitó cualquier pérdida conocida de usuarios, pero el incidente ha impulsado una revisión de los controles de contratación de terceros de la compañía.
