Des sous-traitants liés à la Corée du Nord se sont infiltrés dans MetaMask pendant un mois, la véritable vulnérabilité des projets crypto ne réside pas dans le code.
TechFlow SélectionTechFlow Sélection
Des sous-traitants liés à la Corée du Nord se sont infiltrés dans MetaMask pendant un mois, la véritable vulnérabilité des projets crypto ne réside pas dans le code.
76 % des fonds DeFi volés proviennent de défaillances de permissions au niveau opérationnel, et non de vulnérabilités de code.
Dédié à des analyses Web3 approfondiesAuteur : Liam 'Akiba' Wright
Traduction : TechFlow
Introduction TechFlow : Un sous-traitant lié à la Corée du Nord a accédé au dépôt de code de MetaMask via un fournisseur tiers, travaillant du 9 mars jusqu'en avril avant d'être évincé. Bien que Consensys ait déclaré qu'aucun actif n'avait été volé et qu'aucun code malveillant n'avait été trouvé, cet incident a révélé une faille fatale dans la gestion de l'externalisation des projets crypto — 76 % des fonds DeFi volés proviennent de pertes de privilèges au niveau opérationnel, et non de vulnérabilités dans le code.
Un sous-traitant introduit par Consensys via un fournisseur tiers a commencé à travailler sur le code de MetaMask le 9 mars, et son accès n'a été coupé qu'en avril. Consensys a ensuite décrit cette personne comme étant liée à la Corée du Nord.
Consensys a indiqué que l'enquête n'a révélé aucun vol d'actifs ou de données, aucun déploiement de code malveillant, et aucun impact sur la sécurité des utilisateurs. Matt Corva, conseiller juridique général, a déclaré que l'entreprise avait rapidement identifié la menace, révoqué l'accès, lancé une enquête complète et informé les autorités répressives.
Drop Site a rapporté qu'une alerte interne en avril demandait de suspendre toutes les livraisons de produits pour coopérer avec l'enquête, et informait les employés de ne pas interagir avec ce consultant. Corva a déclaré que ce fournisseur de services entretenait de bonnes relations, et que Consensys a depuis examiné ses pratiques de services tiers, étendant les normes strictes applicables aux employés à des relations externes plus complexes.
L'examen des sous-traitants nécessite des restrictions d'accès au dépôt de code
Rien dans cet incident n'indique que les comptes utilisateurs ou les actifs du portefeuille ont été compromis. La relation existante entre Consensys et le fournisseur présente toujours des vulnérabilités : chaque sous-traitant et compte nécessite ses propres mesures de protection.
Les directives de sécurité générales de MetaMask avertissent que des travailleurs malveillants peuvent utiliser de fausses identités et des documents falsifiés pour obtenir des postes à distance. Elles recommandent d'effectuer des vérifications avec des documents physiques, plusieurs entretiens, une authentification matérielle, une vérification IP et de localisation, des enquêtes d'antécédents, et de limiter l'accès aux systèmes critiques.
Le FBI a également averti que les travailleurs IT nord-coréens utilisent les accès réseau de l'entreprise pour copier les dépôts de code. Ses directives exigent une vérification d'identité lors des entretiens, de l'intégration et tout au long de l'emploi, des audits réguliers des agences de travail tierces, un accès à privilèges minimum, et une surveillance des connexions à distance anormales ou des fuites de dépôt de code.
Les privilèges d'accès au dépôt de code et l'examen sont des garanties essentielles
Après l'intégration, les privilèges d'accès au dépôt de code et l'examen deviennent des mesures de protection essentielles. Les directives du Centre national britannique de la sécurité cybernétique (NCSC) recommandent de rendre les activités du dépôt de code traçables, d'examiner chaque changement dans l'environnement de production, d'effectuer un examen supplémentaire pour les contributions externes, et de révoquer rapidement les accès lorsqu'ils ne sont plus nécessaires. Les identifiants pris en charge par le matériel peuvent protéger les comptes contre le vol d'identifiants, tandis que des privilèges strictement limités et un examen indépendant peuvent limiter les modifications que les comptes autorisés peuvent apporter.
CryptoSlate a rapporté le 5 juillet que, au premier semestre 2026, les attaques au niveau opérationnel autour des clés, de la garde, de la signature et des systèmes d'approbation représentaient environ 76 % des fonds volés, bien que les vulnérabilités des contrats intelligents soient plus fréquentes. Cet écart explique pourquoi le contrôle d'accès et opérationnel est important, même si le nombre d'incidents qu'ils causent est moindre.
Les équipes de portefeuilles et de protocoles devraient considérer l'accès des sous-traitants comme continuellement conditionnel. Les vérifications d'identité doivent être effectuées tout au long de la période d'emploi, les entreprises tierces doivent être auditées, les privilèges d'accès au dépôt de code doivent rester étroits et observables, chaque changement dans l'environnement de production doit faire l'objet d'un examen indépendant, et l'accès doit être révoqué immédiatement dès qu'il n'est plus nécessaire.
La suspension des livraisons par Consensys en avril montre également la valeur de conserver des moyens prédéfinis pour suspendre les changements, à utiliser lors d'enquêtes sur des accès suspects.
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
@CryptoSlate
