北朝鮮関連の請負業者が MetaMask に 1 か月間潜入、暗号資産プロジェクトの真の脆弱性はコードにはない
TechFlow厳選深潮セレクト
北朝鮮関連の請負業者が MetaMask に 1 か月間潜入、暗号資産プロジェクトの真の脆弱性はコードにはない
DeFi 盗難資金の 76% は、コードの脆弱性ではなく、運営レベルでの権限管理の失敗によるものです。
Web3業界の深掘り報道に専念し潮流を洞察著者：Liam 'Akiba' Wright
翻訳：TechFlow
TechFlow 解説：北朝鮮に関連する請負業者 1 名が第三者ベンダーを通じて MetaMask のコードベースにアクセスし、3 月 9 日から 4 月まで活動した後、アクセスを遮断された。Consensys は資産の盗難や悪意のあるコードは発見されなかったとしているが、今回の件は暗号プロジェクトの外注管理における致命的な脆弱性を露呈させた。DeFi で盗まれた資金の 76% はコードの脆弱性ではなく、運用レベルでの権限管理の不備に起因している。
Consensys が第三者ベンダーを通じて採用した請負業者 1 名が 3 月 9 日から MetaMask のコード作業に参加し、4 月になってようやくアクセス権限が切断された。Consensys は後にこの人物を北朝鮮に関連する人物だと説明した。
Consensys によると、調査において資産やデータの盗用は一切発見されず、悪意のあるコードの展開も確認されず、ユーザーの安全性にも影響はなかった。最高法務顧問の Matt Corva 氏は、会社が脅威を迅速に特定し、アクセスを終了し、全面調査を開始し、法執行機関に通報したと述べた。
Drop Site の報道によると、4 月の内部アラートで調査協力のため全製品のリリースを停止するよう求め、従業員にこの顧問と相互作用しないよう指示した。Corva 氏はこのサービスプロバイダーとの関係は良好だったとし、Consensys はその後第三者サービスの慣行を見直し、従業員に適用される厳格な基準を、より複雑な外部関係にも拡大した。
請負業者の審査にはコードベースへの権限制限が必要
この件でユーザーアカウントやウォレット資産が侵害された兆候はない。Consensys とベンダーとの既存の関係には依然として脆弱性が存在する。各請負業者とアカウントにはそれぞれ独自の保護措置が必要である。
MetaMask の一般的なセキュリティガイドラインは警告している。悪意のある作業者は偽の身分証や偽造書類を使ってリモート職を得ることができる。実際の書類による確認、複数の面接、ハードウェア認証、IP および所在地の検証、身元調査、そして重要なシステムへのアクセス制限を推奨している。
FBI もまた警告している。北朝鮮の IT 作業者は会社のネットワークアクセス権限を利用してコードベースを複製する。そのガイドラインでは、面接、入社、および雇用期間全体を通じて身元確認を行うこと、第三者人材会社を定期的に監査すること、最小権限のアクセス、そして異常なリモート接続やコードベースの流出を監視することを求めている。
コードベースの権限と審査が核心的な保護措置
入社後、コードベースの権限と審査が核心的な保護措置となる。英国国家サイバーセキュリティセンター（NCSC）のガイドラインは、コードベースの活動を追跡可能にすること、本番環境の変更すべてを審査すること、外部からの貢献には追加審査を行うこと、そして不要になった際には迅速にアクセス権限を取り消すことを推奨している。ハードウェアサポートされた認証情報は認証情報の盗難からアカウントを保護し、厳格に限定された権限と独立した審査は、認可されたアカウントが行える変更を制限できる。
CryptoSlate は 7 月 5 日に報道した。2026 年上半期、鍵、カストディ、署名、および承認システムをめぐる運用レベルの攻撃が盗まれた資金の約 76% を占めた。スマートコントラクトの脆弱性の方が頻繁であるにもかかわらず、この格差はアクセスと運用制御がなぜ重要なのかを示している。たとえそれらが引き起こすインシデントの数が少なくても。
ウォレットおよびプロトコルチームは、請負業者のアクセス権は継続的に条件付きであると見なすべき。身元確認は雇用期間全体を通じて行うべき。第三者会社は監査を受けるべき。コードベースの権限は狭く、監視可能に保つべき。本番環境の変更ごとに独立した審査を受けるべき。不要になれば直ちにアクセス権限を取り消すべき。
Consensys が 4 月にリリースを停止したことも、疑わしいアクセスを調査する際に使用できるように、変更を停止するための事前定義された方法を保持する価値を示している。
TechFlow公式コミュニティへようこそ
Telegram購読グループ：https://t.me/TechFlowDaily
Twitter公式アカウント：https://x.com/TechFlowPost
Twitter英語アカウント：https://x.com/BlockFlow_News
@CryptoSlate
