Community Trust ScoreVérifié
Un contractant lié à la Corée du Nord s’est infiltré dans le code source de MetaMask. Pas pour un jour. Pendant environ un mois — du 9 mars jusqu’à ce que Consensys coupe l’accès en avril. Le contractant est entré par l’intermédiaire d’un fournisseur tiers, et la brèche est restée non détectée suffisamment longtemps pour rendre quiconque dans la sécurité crypto mal à l’aise.
Consensys a confirmé qu’aucun actif n’a été volé, aucune donnée utilisateur n’a été compromise, et qu’aucun code malveillant n’a été mis en production. Matt Corva, conseiller juridique de Consensys, a déclaré que l’entreprise a rapidement identifié le risque, coupé l’accès du contractant, lancé une enquête complète et informé les forces de l’ordre. Une réponse rapide, certes. Mais le fait que quelqu’un avec des liens nord-coréens ait été dans le code de MetaMask pendant des semaines est la partie qui reste.
Les sorties de produits gelées pendant l’enquête
Lorsque l’alerte interne s’est déclenchée en avril, Consensys a pris une mesure assez drastique : elle a gelé toutes les sorties de produits MetaMask. Tout s’est arrêté. Le personnel a reçu des instructions pour éviter tout contact avec le contractant — pas de messages, pas de systèmes partagés, rien. C’est une mesure brutale, mais probablement la bonne quand on ne sait pas encore ce que quelqu’un a touché ou ce qu’il prévoyait.
Corva a noté que le fournisseur tiers utilisé par Consensys était réputé. Ce n’est pas une esquive — c’est en fait la partie inconfortable. Le contractant n’est pas entré par un vendeur douteux. Il est passé par un canal légitime, ce qui rend le tout plus difficile à détecter à l’avance. Depuis l’incident, Consensys affirme avoir relevé ses normes de service tiers pour les aligner sur celles appliquées en interne. Si cela suffit, c’est encore incertain.
La question plus large ici est la gestion des accès. Qui peut voir quoi, et pour combien de temps. Dans une industrie fortement orientée vers le télétravail comme le développement crypto, cette question n’a pas de réponse simple.
Ce que l’avertissement du FBI et des autorités cyber britanniques
Le FBI martèle ce point depuis un moment. Les travailleurs informatiques nord-coréens, a averti l’agence, utilisent l’accès au réseau pour copier des dépôts de code et exfiltrer des données. Le mode opératoire implique de fausses identités, des documents falsifiés, et suffisamment de crédibilité technique pour passer le premier filtrage. Les recommandations du FBI insistent sur les vérifications d’identité lors de l’intégration, certes — mais aussi sur une vérification continue tout au long de l’emploi. Pas juste une vérification de fond ponctuelle. Continue.
Le Centre national de cybersécurité du Royaume-Uni ajoute sa propre couche. Leur conseil : rendre toute activité de dépôt attribuable, scruter chaque contribution externe, et révoquer l’accès rapidement quand il n’est plus nécessaire. Ce dernier point semble évident. Apparemment, ce n’est pas assez évident.
Les propres lignes directrices de sécurité de MetaMask signalent exactement cette menace — des travailleurs malveillants utilisant de fausses identités pour s’introduire dans les organisations. Les recommandations incluent plusieurs séries d’entretiens, une authentification matérielle, une vérification IP, et des vérifications de références qui mènent réellement quelque part. Des choses basiques, peut-être, mais l’incident Consensys montre que même des fournisseurs réputés peuvent être compromis.
Le problème des 76% dans le crypto
CryptoSlate a rapporté que les compromissions opérationnelles représentaient environ 76% de la valeur volée au début de 2026. Ce ne sont pas des piratages au sens traditionnel — pas quelqu’un qui force brutalement un portefeuille. C’est un accès interne, un mauvais usage par un contractant, et des échecs de contrôle d’accès. Le genre de chose qui est difficile à prévoir parce que cela ressemble à un travail normal jusqu’à ce que ça ne le soit plus.
Ce chiffre est important pour la façon dont toute l’industrie pense à la sécurité. Les équipes de protocoles et les développeurs de portefeuilles peuvent construire les contrats intelligents les plus hermétiques au monde, mais si un contractant a accès aux dépôts et une motivation, le code lui-même devient la vulnérabilité.
Les conseils qui circulent maintenant — du FBI, des propres lignes directrices de MetaMask, des chercheurs en sécurité en général — sont assez cohérents. Accès conditionnel pour les contractants, pas d’accès généralisé. Audits réguliers des entreprises tierces. Accès aux dépôts qui est limité et enregistré. Revue indépendante de chaque changement destiné à la production. Et un processus clair et pré-planifié pour geler les opérations lorsque quelque chose semble anormal.
Consensys avait effectivement cette dernière pièce en place. La pause d’avril sur les sorties de produits n’était pas improvisée — c’était un mécanisme qui pouvait être déclenché. C’est probablement ce qui a empêché que cela ne s’aggrave.
Et cela vaut la peine de s’y attarder un instant. La brèche a eu lieu. Un acteur lié à la Corée du Nord était dans le code de MetaMask pendant un mois. Mais les dommages ont été contenus. Aucun actif détourné, aucun code malveillant déployé, la sécurité des utilisateurs intacte. La réponse a fonctionné, même si la prévention n’a pas entièrement tenu.
Le contractant est passé par un fournisseur réputé. Ils ont passé le filtrage existant. Ils ont eu accès à partir du 9 mars. Consensys l’a détecté en avril, a agi rapidement, a informé les forces de l’ordre, et a reconstruit ses normes de tiers à partir de là.
C’est un rappel que la menace n’est pas toujours une exploitation sophistiquée de type zero-day. Parfois, c’est un contractant avec un faux CV et assez de patience pour attendre.
Corva a confirmé que les forces de l’ordre ont été informées. Pas plus de détails sur ce front — la source n’a pas précisé quelles agences au-delà de la notification initiale, et Consensys n’a pas dit plus publiquement.
Questions Fréquentes
Combien de temps le contractant lié à la Corée du Nord a-t-il eu accès au code de MetaMask ?
Le contractant a eu accès du 9 mars jusqu’à ce que Consensys le restreigne en avril — environ un mois.
Des données ou des fonds d’utilisateurs de MetaMask ont-ils été volés pendant la brèche ?
Non. Consensys a confirmé qu’aucun actif ou donnée n’a été détourné et qu’aucun code malveillant n’a été déployé.
Qu’a fait Consensys après avoir découvert les liens du contractant avec la Corée du Nord ?
Consensys a mis fin à l’accès du contractant, a suspendu toutes les sorties de produits MetaMask, a lancé une enquête complète et a informé les forces de l’ordre, selon le conseiller juridique Matt Corva.
