险情！外包员工几乎给MetaMask带来灾难

正文：

原创 ｜Odaily 星球日报（@OdailyChina）

作者｜Golem（@web3_golem）

上周，MetaMask庆祝了其十周年纪念，但随之而来的是媒体揭露的一起“安全丑闻”，该事件涉及到意外雇佣了一名朝鲜黑客。

根据Drop Site News获得的Consensys内部Slack记录，2026年3月9日，一名以“Tyler Knapp”为假名（GitHub账号为imyugioh）的朝鲜黑客通过Consensys所合作的第三方人力资源公司被聘为咨询顾问。内部记录表明，此人并非参与边缘项目，而是直接接触到了MetaMask的核心钱包代码，并参与了法币出入金功能的开发。

想象一下，如果这名黑客在MetaMask的出入金环节进行了恶意操作，数千万用户的资产将面临巨大风险。幸运的是，事件并未发展至此。在这名黑客入职一个月后，Consensys的内部安全部门便发现了异常情况。经过调查确认Tyler Knapp的真实身份后，Consensys立即撤销了他的所有内部访问权限，并通知了执法机关。

Consensys的首席法律顾问Matt Corva表示，在针对Tyler Knapp的调查启动后，MetaMask的所有产品发布被立刻暂停，并要求相关人员对此事保密，避免接触该名员工。

尽管此次安全事件未造成用户资产和数据损失，Matt Corva仍未透露如何确定Tyler Knapp与朝鲜黑客组织之间的关联。

此时，问题浮现，为什么朝鲜黑客能够如此轻易地绕过Consensys的背景审查？

Matt Corva解释称，他们是通过与一家信誉良好的第三方服务提供商的现有合作关系了解到“Knapp”的情况，然而这并不足以成为Consensys未对候选人进行详细背调的理由。更令人震惊的是，Consensys可能在招聘过程中根本未对Tyler Knapp进行任何基本审查，实际上他的身份并未深藏，普通人通过AI查询便能发现其真实身份。

据DeFi研究员@Zun2025在X平台上发布的信息，该名黑客的GitHub账号为imyugioh，自2025年9月以来，他已被列入Lazarus Group黑客名单，真实姓名为Mauro Liu。（Odaily注：Lazarus Group是朝鲜最大的黑客组织，2025年Bybit被盗取15亿美元也被指向该组织）

朝鲜黑客 imyugioh，真实姓名 Mauro Liu

Consensys不愿透露如何确定Tyler Knapp与朝鲜黑客组织的真实关联，或许是出于对自身招聘流程漏洞暴露的担忧。

事后，Matt Corva对此辩解称，公司已启动对工程和开发外包实践的审查，“我们审查了所有第三方服务（包括现有合作关系），确保对所有员工的严格标准同样适用于更复杂的第三方合作。”

更具讽刺意味的是，MetaMask的安全负责人Taylor Monahan早已关注朝鲜黑客对Web3公司招聘流程的渗透。她曾提到，朝鲜IT专家积极参与DeFi项目并为知名协议贡献力量，他们的进入并非个例，而是持续了至少七年，受影响的项目包括SushiSwap、THORChain、Fantom、Shiba Inu、Yearn Finance和Floki，如今MetaMask也未能幸免。

作为长期关注朝鲜黑客的MetaMask安全负责人，Taylor Monahan并未在X平台上对这次意外雇佣事件发表任何看法。尽管这一事件属于“成功渗透招聘流程但未实施攻击”，但仍暴露出MetaMask整体安全的疏忽，与其对外树立的形象形成鲜明对比——如此重要的法币出入金功能开发，竟让一名外包员工接触到了核心代码。

即便是像Consensys这样的大型加密公司，尽管拥有完善的代码审计体系，但因规模庞大，在招聘和外包审查上往往比小团队更脆弱，尤其在招聘环节更容易被黑客突破。

过去一年，随着AI技术和编码能力的提升，许多人担心黑客可能通过AI寻找协议漏洞进行攻击。反常的是，从过往的案例看来，社会工程学攻击才是朝鲜黑客最容易得手、且能盗取最大资金的方式。

与其进行外部技术攻击，渗透招聘链或伪装成公司应聘者对于黑客组织而言成本更低。链上侦探ZachXBT曾表示，朝鲜最大的黑客组织Lazarus Group的许多渗透手段非常简单，例如发布招聘信息、通过LinkedIn联系、发送私信及进行Zoom面试，这种方式的优点在于持久性且可“广撒网”。

同时，这种攻击手段的成本不对等，朝鲜黑客几乎可以以零成本更换身份，而对于支持远程工作、第三方外包和开源协作的大型加密公司而言，持续的身份验证和审查却是一项高成本支出。

许多加密企业未能像MetaMask那样幸运，在被盗发生前识别出“内鬼”。

2026年4月，朝鲜黑客渗透Drift Protocol历时六个月，通过假招聘及合作获取内部权限，最终导致约2.85亿美元的用户资产被盗；更早的案例中，2024年朝鲜黑客通过招聘进入Bitcoin DMM交易所，获得内部访问权限后窃取了约3.08亿美元；2022年，朝鲜黑客伪装成区块链游戏开发者进入Ronin Network公司，导致Ronin桥被盗，损失约6.2亿美元，是当时最大规模的加密黑客事件之一。

MetaMask侥幸躲过了一次危机，却未能逃避一次警示。对于当今的加密行业而言，最大的安全风险或许不再是代码本身，而在代码之外。区块链的安全边界已然从链上延伸至现实世界，代码可以反复审计，合约可以不断升级，而身份验证却极为困难。过去人们普遍认为智能合约是加密行业最脆弱的环节，如今看来，真正难以防御的，始终是管理流程及其背后的人。

来源：Odaily星球日报