Consensys đã tạm thời ngừng phát hành sản phẩm sau khi một nhà tư vấn có liên hệ với Triều Tiên truy cập vào hệ thống của họ trong khoảng một tháng.
Drop Site News đưa tin rằng nhà phát triển này đã gia nhập công ty phần mềm Ethereum dưới bí danh “Tyler Knapp” và sử dụng tên người dùng GitHub “imyugioh.” Các hồ sơ GitHub công khai được xem xét bởi hãng tin cho thấy nhà tư vấn này bắt đầu đóng góp mã vào ngày 9 tháng 3 trước khi quyền truy cập của anh ta bị chấm dứt vào tháng 4.
Các tin nhắn nội bộ do Drop Site thu được cho thấy Knapp đã làm việc trên mã nền tảng cốt lõi của MetaMask, bao gồm các phần được sử dụng để kết nối người dùng tiền điện tử với các nhà cung cấp dịch vụ thanh toán tiền pháp định của bên thứ ba. Consensys đã tạm ngừng phát hành sản phẩm trong quá trình điều tra và chỉ đạo nhân viên tránh liên hệ với nhà tư vấn này, theo báo cáo.
Tổng cố vấn của Consensys, Matt Corva, nói với Drop Site rằng một nhà cung cấp dịch vụ bên thứ ba đã giới thiệu Knapp cho công ty. Corva nhấn mạnh rằng Consensys coi anh ta là một nhà tư vấn chứ không phải là một nhân viên trực tiếp.
“Rất nhanh sau khi được giới thiệu, chúng tôi đã phát hiện ra mối đe dọa, tuân thủ các quy trình bảo mật của mình, ngay lập tức chấm dứt mọi quyền truy cập và khởi động một cuộc điều tra toàn diện xác nhận rằng không có sự chiếm đoạt tài sản hoặc dữ liệu, không có mã độc hại nào được triển khai và không ảnh hưởng đến sự an toàn và bảo mật của người dùng.”
Mặc dù Consensys không tiết lộ bất kỳ tổn thất tài chính nào, Corva cho biết trong một tuyên bố rằng công ty sẽ đánh giá lại cách họ thuê ngoài công việc kỹ thuật và phát triển. Công ty cũng đã thông báo cho cơ quan thực thi pháp luật và cung cấp thông tin về vụ việc, theo các thông tin liên lạc nội bộ được Drop Site xem xét.
Cuộc điều tra của Consensys không tìm thấy bằng chứng nào cho thấy nhà tư vấn đã đánh cắp dữ liệu công ty hoặc tài sản kỹ thuật số, chèn mã độc hại hoặc gây hại cho người dùng, theo Corva. Công ty đã không công khai giải thích cách họ thiết lập các mối liên hệ bị cáo buộc của nhà phát triển với Cộng hòa Dân chủ Nhân dân Triều Tiên.
Ngay cả khi không có tổn thất được xác nhận, quyền truy cập của nhà phát triển có thể làm lộ cơ sở hạ tầng nhạy cảm. Theo TRM Labs, môi trường phát triển đã trở thành một trong những con đường nhanh nhất để kẻ tấn công tìm kiếm quyền truy cập vào các hệ thống lưu giữ khóa riêng hoặc phê duyệt rút tiền điện tử.
Một cuộc điều tra kéo dài sáu tháng được hỗ trợ bởi Chương trình ETH Rangers của Ethereum Foundation cho thấy mối đe dọa tuyển dụng không chỉ giới hạn ở Consensys. Dự án Ketman đã xác định khoảng 100 công nhân CNTT Triều Tiên bị nghi ngờ sử dụng danh tính giả mạo trên 53 dự án tiền điện tử và Web3, theo một bản tóm tắt của ETH Rangers được công bố vào tháng 4.
Các nhà điều tra của Ketman cũng đã theo dõi ít nhất ba nhóm bị nghi ngờ trên 11 kho mã, nơi các dự án đã hợp nhất 62 yêu cầu kéo (pull requests) trước khi phát hiện hoạt động. Dự án báo cáo rằng một số ứng viên đã sử dụng ảnh đại diện được tạo, tài liệu nhận dạng giả mạo và danh tính Nhật Bản giả để vượt qua các cuộc kiểm tra sàng lọc.
Các nhóm có liên hệ với Triều Tiên đã liên tục sử dụng danh tính giả mạo và các công việc kỹ thuật từ xa để thâm nhập vào các công ty công nghệ. Như crypto.news đã đưa tin vào tháng 11, người sáng lập Opsek và thành viên Security Alliance Pablo Sabbatella đã cảnh báo tại Devconnect Buenos Aires rằng công nhân Triều Tiên có thể đang làm việc trong tới một phần năm số công ty tiền điện tử.
Sabbatella cũng ước tính rằng các ứng viên Triều Tiên chiếm khoảng 30% đến 40% số đơn xin việc mà các công ty tiền điện tử nhận được, cho thấy rằng gian lận tuyển dụng không chỉ giới hạn trong các trường hợp cá biệt.
Các công ty tiền điện tử phải đối mặt với rủi ro gia tăng vì nhân viên và nhà thầu có thể nhận được quyền truy cập vào mã, ví và hệ thống giao dịch. TRM Labs ước tính rằng Triều Tiên chịu trách nhiệm cho 64% giá trị bị đánh cắp trong các vụ hack tiền điện tử trong năm 2025, khi tổng thiệt hại vượt quá 2,7 tỷ USD. TRM Labs
Một cuộc tấn công đã gây ra phần lớn thiệt hại. FBI đã quy trách nhiệm vụ trộm khoảng 1,5 tỷ USD từ Bybit vào tháng 2 năm 2025 cho nhóm TraderTraitor của Triều Tiên, nhóm này đã phân tán tài sản qua hàng nghìn địa chỉ blockchain. FBI
TRM Labs báo cáo rằng hơn 30 sàn giao dịch và giao thức tài chính phi tập trung hiện chia sẻ cảnh báo nhanh chóng thông qua Mạng lưới Beacon của họ khi các quỹ liên quan đến Triều Tiên đến các nền tảng tham gia. Đối với Consensys, việc loại bỏ nhà tư vấn đã ngăn chặn bất kỳ tổn thất người dùng nào được biết đến, nhưng sự cố này đã thúc đẩy một cuộc xem xét lại các kiểm soát tuyển dụng bên thứ ba của công ty.
