MetaMask 开发商遭北韩渗透！外部顾问潜伏近一个月，官方证实展开调查

北韩相关承包商渗入 Consensys，MetaMask 程式码开放近一个月

以太坊基础建设公司 Consensys 卷入资安风暴。根据《Drop Site》的报导，该公司今年稍早透过一家具信誉的第三方服务供应商，引入一名使用「Tyler Knapp」化名的软体开发顾问，该人士后续被查出与北韩有关。此人曾参与 MetaMask 相关开发工作，并于 3 月 9 日至 4 月期间接触部分系统与程式码，直到 Consensys 发现异常后终止其权限。

Consensys 法务长 Matt Corva 向外媒《Cointelegraph》表示，该名开发者从未成为公司正式员工，身分是外部顾问。公司确认威胁后，已依内部资安流程撤销其存取权限，并启动全面调查。

调查结果显示，目前没有发现资产或资料遭挪用，也没有恶意程式码被部署，使用者安全与钱包资产未受影响。公司同时通报执法机关，并重新检视外包工程与第三方服务管理流程。

内部警报暂停产品发布，第三方用工漏洞浮上台面

事件曝光后，外界关注焦点集中在 MetaMask 程式码与产品发布流程。据报导，Consensys 曾于 4 月发布内部警示，要求暂停所有产品版本发布，直到调查完成为止，并提醒员工停止与该名顾问互动。对一家管理全球大量链上使用者入口的钱包公司而言，这类措施显示管理层当时已将事件视为高风险资安事件处理。

这起事件也凸显加密产业对外包工程人力的依赖风险。许多开源或半开源专案需要与外部开发者、承包商、审计公司与服务商合作，权限控管若未细致分级，具备合法帐号的外部人员便可能接触敏感储存库、提交程式码或取得内部开发资讯。即使调查未发现实际损害，外部顾问能持续接触 MetaMask 相关程式码近一个月，已足以引发钱包安全与供应链治理疑虑。

北韩 IT 渗透加密业，攻击已从钓鱼转向供应链

北韩相关骇客与 IT 工作者近年持续锁定加密货币产业。美国执法与资安单位多次警告，北韩人员会以假身分、伪造履历、远端工作设备与第三方承包关系，进入科技公司与加密企业内部，借此取得程式码、云端凭证、私钥管理资讯或内部系统权限。这类攻击路径比单纯钓鱼更隐蔽，因为入侵者可透过正式流程取得帐号，并在日常开发活动中降低被发现机率。

MetaMask 是全球最常用的自托管钱包之一，长期作为使用者进入 DeFi 、 NFT 与链上应用的主要入口。即便 Consensys 强调使用者资产安全未受影响，事件仍让市场重新检视钱包开发流程的脆弱环节。

• 对使用者而言，钱包前端、浏览器扩充功能、签章提示与交易确认介面，都可能在供应链环节遭遇风险。
• 对企业而言，身分验证、最小权限、程式码审查、版本冻结与异常存取监控，已成为加密基础设施维运的核心要求。

Consensys 承诺强化审查，加密钱包安全压力升高

Consensys 表示，将重新评估外包工程与第三方服务商合作规范，让外部关系适用更严格的审查标准。未来承包商是否完成身分验证、是否接受多轮面试、是否使用硬体验证、是否限制地理位置与 IP 存取、是否能接触关键储存库，都可能成为钱包公司风控制度的一部分。

这起事件没有造成已知资产损失，却让加密产业看见另一种高强度攻击模式。攻击者取得开发流程中的合法位置后，风险会向产品发布、程式码完整性与使用者信任扩散。对 MetaMask 这类基础入口而言，安全问题已超越单一漏洞修补，延伸至人员、供应商、权限与治理流程的全面防线。