Vorübergehende Einstellung der Produktveröffentlichungen bei Consensys
Consensys hat vorübergehend die Produktveröffentlichungen eingestellt, nachdem ein mit Nordkorea verbundener Berater etwa einen Monat lang Zugriff auf seine Systeme erlangt hatte. Drop Site News berichtete, dass der Entwickler unter dem Alias „Tyler Knapp“ dem Ethereum-Softwareunternehmen beigetreten ist und den GitHub-Namen „imyugioh“ verwendete.
Details zum Vorfall
Öffentliche GitHub-Daten, die von dem Outlet überprüft wurden, zeigen, dass der Berater am 9. März begann, Code beizutragen, bevor sein Zugriff im April endete. Interne Nachrichten, die von Drop Site erhalten wurden, zeigen, dass Knapp am Kerncode der MetaMask-Plattform arbeitete, einschließlich Abschnitten, die verwendet werden, um Krypto-Nutzer mit Drittanbietern von Fiat-Zahlungen zu verbinden.
Consensys setzte die Produktveröffentlichungen während seiner Untersuchung aus und wies die Mitarbeiter an, den Kontakt zu dem Berater zu vermeiden, so der Bericht. Der General Counsel von Consensys, Matt Corva, erklärte gegenüber Drop Site, dass ein etablierter Drittanbieter Knapp dem Unternehmen vorgestellt habe. Corva betonte, dass Consensys ihn als Berater und nicht als direkten Mitarbeiter behandelte.
„Sehr schnell nach der Vorstellung entdeckten wir die Bedrohung, folgten unseren Sicherheitsprotokollen, beendeten sofort jeglichen Zugriff und starteten eine umfassende Untersuchung, die bestätigte, dass es keine Unterschlagung von Vermögenswerten oder Daten, keinen bösartigen Code und keinen Einfluss auf die Sicherheit der Nutzer gab.“
Folgen und weitere Untersuchungen
Obwohl Consensys keine finanziellen Verluste bekannt gab, erklärte Corva in einer Stellungnahme, dass das Unternehmen neu bewerten werde, wie es Ingenieur- und Entwicklungsarbeiten auslagert. Das Unternehmen informierte auch die Strafverfolgungsbehörden und stellte Informationen über den Vorfall zur Verfügung, so interne Mitteilungen, die von Drop Site überprüft wurden.
Die Untersuchung von Consensys fand keine Beweise dafür, dass der Berater Unternehmensdaten oder digitale Vermögenswerte gestohlen, schädlichen Code eingefügt oder Nutzer kompromittiert hat, so Corva. Das Unternehmen erklärte nicht öffentlich, wie es die angeblichen Verbindungen des Entwicklers zur Demokratischen Volksrepublik Korea feststellte.
Bedrohung durch nordkoreanische IT-Arbeiter
Selbst ohne bestätigten Verlust kann der Zugriff von Entwicklern sensible Infrastrukturen gefährden. Laut TRM Labs sind Entwicklerumgebungen zu einem der schnellsten Wege für Angreifer geworden, die Zugang zu Systemen suchen, die private Schlüssel oder Genehmigungen für Krypto-Abhebungen halten.
Eine sechsmonatige Untersuchung, die vom ETH Rangers Programm der Ethereum Foundation unterstützt wurde, zeigt, dass die Bedrohung durch Einstellungen über Consensys hinausgeht. Das Ketman-Projekt identifizierte etwa 100 verdächtige nordkoreanische IT-Arbeiter, die unter falschen Identitäten in 53 Krypto- und Web3-Projekten tätig sind, laut einem im April veröffentlichten Rückblick der ETH Rangers.
Ketman-Ermittler verfolgten auch mindestens drei verdächtige Gruppen über 11 Code-Repositories, in denen Projekte 62 Pull-Requests zusammengeführt hatten, bevor sie die Aktivitäten entdeckten. Das Projekt berichtete, dass einige Bewerber generierte Profilbilder, gefälschte Identitätsdokumente und falsche japanische Identitäten verwendeten, um die Überprüfungsprüfungen zu bestehen.
Risiken für Krypto-Unternehmen
Mit Nordkorea verbundene Gruppen haben wiederholt gefälschte Identitäten und Remote-Engineering-Jobs genutzt, um Zugang zu Technologieunternehmen zu erhalten. Wie crypto.news im November berichtete, warnte der Gründer von Opsek und Mitglied der Security Alliance, Pablo Sabbatella, auf der Devconnect Buenos Aires, dass nordkoreanische Arbeiter in bis zu einem Fünftel der Krypto-Unternehmen eingebettet sein könnten.
Sabbatella schätzte auch, dass nordkoreanische Bewerber etwa 30 % bis 40 % der von Krypto-Firmen erhaltenen Bewerbungen ausmachen, was darauf hindeutet, dass Beschäftigungsbetrug nicht auf Einzelfälle beschränkt ist. Krypto-Unternehmen sind einem zusätzlichen Risiko ausgesetzt, da Mitarbeiter und Auftragnehmer Zugang zu Code, Wallets und Transaktionssystemen erhalten können.
TRM Labs schätzte, dass Nordkorea für 64 % des Wertes verantwortlich war, der bei Krypto-Hacks im Jahr 2025 gestohlen wurde, als die Gesamtschäden 2,7 Milliarden US-Dollar überstiegen. Ein Angriff von TRM Labs machte einen Großteil des Schadens aus. Das FBI schrieb den Diebstahl von etwa 1,5 Milliarden US-Dollar von Bybit im Februar 2025 der TraderTraitor-Gruppe Nordkoreas zu, die die Vermögenswerte über Tausende von Blockchain-Adressen verteilte.
TRM Labs berichtete, dass mehr als 30 Börsen und dezentrale Finanzprotokolle jetzt über ihr Beacon Network schnelle Warnungen austauschen, wenn mit Nordkorea verbundene Gelder die teilnehmenden Plattformen erreichen.
Für Consensys verhinderte die Entfernung des Beraters jeglichen bekannten Nutzerverlust, aber der Vorfall hat eine Überprüfung der Einstellungsrichtlinien für Dritte des Unternehmens angestoßen.
