朝鮮關聯承包商潛入 MetaMask 一個月，加密項目眞正的漏洞不在代碼裡

BiRun 消息，作者：Liam 'Akiba' Wright 編譯：深潮 TechFlow 深潮導讀： 一名朝鮮關聯承包商通過第三方供應商進入 MetaMask 代碼庫，從 3 月 9 日一直幹到 4 月才被踢出去。雖然 Consensys 說沒發現資產被盜或噁意代碼，但這次事件暴露了加密項目外包管理的致命漏洞——76%的 DeFi 被盜資金都來自運營層面的權限失守，而非代碼漏洞。 Consensys 通過第三方供應商引入的一名承包商從 3 月 9 日開始參與 MetaMask 代碼工作，直到 4 月才被切斷訪問權限。Consensys 後來將此人描述為與朝鮮有關。 Consensys 表示，調査未發現任何資產或數據被盜用、未發現噁意代碼部署，也未對用戶安全造成影響。總法律顧問 Matt Corva 表示，公司迅速識別了威脅、終止了訪問、啓動了全面調査並通知了執法部門。 Drop Site 報道稱，4 月的一份內部警報要求暫停所有產品發布以配閤調査，並告知員工不要與該顧問互動。Corva 稱這家服務供應商關系良好，Consensys 此後已審査其第三方服務實踐，將適用於員工的嚴格標準也擴展到更復雜的外部關系。 承包商審査需要代碼庫權限限製該事件沒有跡象表明用戶帳戶或錢包資產受到損害。Consensys 與供應商的現有關系仍存在漏洞：每個承包商和帳戶都需要自己的保障措施。 MetaMask 的一般安全指南警告稱，噁意工作者可以使用虛假身份和偽造文件獲得遠程職位。它建議使用實際文件進行檢査、多次面試、硬件認証、IP 和位置驗証、背景調査，以及限製對關鍵系統的訪問。 FBI 另外警告稱，朝鮮 IT 工作者利用公司網絡訪問權限復製代碼庫。其指南要求在面試、入職和整個僱傭期間進行身份驗証，定期審計第三方人力公司，最小權限訪問，以及監控異常遠程連接或代碼庫外洩。 代碼庫權限和審査是覈心保障入職後，代碼庫權限和審査成為覈心保障措施。英國國家網絡安全中心指南建議使代碼庫活動可追泝、審査每一個生產環境的變更、對外部貢獻進行額外審査，以及在不再需要時快速撤銷訪問權限。硬件支持的憑証可以保護帳戶免受憑証被盜，而嚴格限定的權限和獨立審査可以限製授權帳戶能做出的更改。 CryptoSlate 在 7 月 5 日報道稱，2026 年上半年，圍繞密鈅、託管、簽名和審批系統的運營層面攻擊佔被盜資金的約 76%，儘管智能閤約漏洞更頻繁。這個差距說明了為什麼訪問和運營控製很重要，卽使它們造成的事件數量較少。 錢包和協議團隊應將承包商訪問權視為持續有條件的。身份檢査應貫穿整個僱傭期，第三方公司應接受審計，代碼庫權限應保持狹窄且可觀察，每個生產環境的變更都應接受獨立審査，一旦不再需要就應立卽撤銷訪問權限。 Consensys 在 4 月暫停發布也顯示了保留預定義方式來暫停變更的價值，以便在調査可疑訪問時使用。