Consensys a temporairement suspendu les lancements de produits après qu'un consultant lié à la Corée du Nord ait eu accès à ses systèmes pendant environ un mois.
Drop Site News a rapporté que le développeur avait rejoint la société de logiciels Ethereum sous l'alias "Tyler Knapp" et utilisait le pseudo GitHub "imyugioh". Les registres publics de GitHub consultés par le média ont montré que le consultant avait commencé à contribuer au code le 9 mars avant que son accès ne soit révoqué en avril.
Des messages internes obtenus par Drop Site ont montré que Knapp avait travaillé sur le code de base de la plateforme MetaMask, y compris des sections utilisées pour connecter les utilisateurs de cryptomonnaie avec des fournisseurs tiers de paiement fiduciaire. Consensys a suspendu les lancements de produits pendant son enquête et a demandé au personnel d'éviter tout contact avec le consultant, selon le rapport.
Le directeur juridique de Consensys, Matt Corva, a déclaré à Drop Site qu'un fournisseur de services tiers établi avait présenté Knapp à l'entreprise. Corva a souligné que Consensys le considérait comme un consultant plutôt que comme un employé direct.
« Très rapidement après avoir été présenté, nous avons découvert la menace, suivi nos protocoles de sécurité, immédiatement mis fin à tout accès et lancé une enquête approfondie qui a confirmé qu'il n'y avait eu aucune appropriation illicite d'actifs ou de données, aucun code malveillant déployé, et aucun impact sur la sécurité et la sûreté des utilisateurs. »
Bien que Consensys n'ait révélé aucune perte financière, Corva a déclaré dans un communiqué que l'entreprise réévaluerait la manière dont elle sous-traite les travaux d'ingénierie et de développement. La firme a également informé les forces de l'ordre et fourni des informations sur l'incident, selon des communications internes examinées par Drop Site.
L'enquête de Consensys n'a trouvé aucune preuve que le consultant ait volé des données de l'entreprise ou des actifs numériques, inséré du code nuisible ou compromis des utilisateurs, selon Corva. La société n'a pas expliqué publiquement comment elle avait établi les liens présumés du développeur avec la République populaire démocratique de Corée.
Même sans perte confirmée, l'accès des développeurs peut exposer des infrastructures sensibles. Selon TRM Labs, les environnements de développement sont devenus l'une des voies les plus rapides pour les attaquants cherchant à accéder aux systèmes qui détiennent des clés privées ou approuvent les retraits de cryptomonnaie.
Une enquête de six mois soutenue par le programme ETH Rangers de la Fondation Ethereum montre que la menace de recrutement s'étend au-delà de Consensys. Le projet Ketman a identifié environ 100 travailleurs informatiques nord-coréens présumés utilisant de fausses identités à travers 53 projets crypto et Web3, selon un récapitulatif des ETH Rangers publié en avril.
Les enquêteurs de Ketman ont également retracé au moins trois groupes présumés à travers 11 dépôts de code, où des projets avaient fusionné 62 pull requests avant de détecter l'activité. Le projet a rapporté que certains candidats avaient utilisé des photos de profil générées, des documents d'identité falsifiés et de fausses identités japonaises pour passer les contrôles de sélection.
Les groupes liés à la Corée du Nord ont utilisé à plusieurs reprises de fausses identités et des emplois d'ingénierie à distance pour s'introduire dans des entreprises technologiques. Comme crypto.news l'a rapporté en novembre, Pablo Sabbatella, fondateur d'Opsek et membre de Security Alliance, a averti lors du Devconnect Buenos Aires que des travailleurs nord-coréens pourraient être intégrés dans jusqu'à un cinquième des entreprises de cryptomonnaie.
Sabbatella a également estimé que les candidats nord-coréens représentent environ 30 % à 40 % des candidatures reçues par les entreprises de cryptographie, suggérant que la fraude à l'emploi ne se limite pas à des cas isolés.
Les entreprises de cryptomonnaie sont confrontées à un risque accru car les employés et les sous-traitants peuvent obtenir l'accès au code, aux portefeuilles et aux systèmes de transaction. TRM Labs a estimé que la Corée du Nord était responsable de 64 % de la valeur volée lors des piratages de cryptomonnaie en 2025, lorsque les pertes totales ont dépassé 2,7 milliards de dollars. TRM Labs
Une attaque a représenté une grande partie des dommages. Le FBI a attribué le vol d'environ 1,5 milliard de dollars sur Bybit en février 2025 au groupe nord-coréen TraderTraitor, qui a dispersé les actifs sur des milliers d'adresses blockchain. FBI
TRM Labs a rapporté que plus de 30 exchanges et protocoles de finance décentralisée partagent désormais des alertes rapides via son réseau Beacon lorsque des fonds liés à la Corée du Nord atteignent les plateformes participantes. Pour Consensys, le retrait du consultant a empêché toute perte connue pour les utilisateurs, mais l'incident a incité à une révision des contrôles de recrutement des tiers par l'entreprise.
