```html 好险！一名外包员工差点毁了MetaMask

原文｜Odaily 星球日报（@OdailyChina）

著者｜Golem（@web3_golem）

先週、MetaMask は10周年を迎えたばかりですが、メディアから、偶然にも北朝鮮のハッカーを雇用していたという「セキュリティスキャンダル」が報じられました。

7月17日、Drop Site News が入手した Consensys 社内の Slack 記録によると、"Tyler Knapp" という偽の身分（GitHub アカウントは imyugioh）を使う北朝鮮のハッカーが、2026年3月9日、Consensys と長期的に協力している第三者人材紹介会社を通じてコンサルタントとして採用されました。内部記録によると、この北朝鮮のハッカーが関わったのは周辺的なプロジェクトではなく、MetaMask のコアウォレットコードにアクセスし、ウォレットの法定通貨入出金機能の開発にも参加していました。

想像してみてください。もしこの北朝鮮のハッカーが MetaMask の入出金プロセスに細工をしていたら、数千万のユーザーの資産がすべて脅かされていたでしょう。幸いにもそのような大惨事は発生せず、ハッカーが入社してから1か月後、Consensys の内部セキュリティ部門が異常を検知しました。結局、Consensys の調査により Tyler Knapp の正体が北朝鮮のハッカーであると断定された後、すぐに彼のすべての内部アクセス権限を停止し、法執行機関に連絡しました。

Consensys のゼネラルカウンセルである Matt Corva 氏は、Tyler Knapp に関する調査が全社的に発表された後、MetaMask のすべての製品リリースを直ちに停止するよう命じ、全員にこの件を秘密にし、この人物と接触しないよう要請したと述べています。

このセキュリティインシデントによってユーザーの資産やデータの損失は発生しませんでしたが、Matt Corva 氏は、どのようにして Tyler Knapp が北朝鮮のハッカー組織と関連があると判断したのかについて、最後まで明かしませんでした。

Consensys の採用プロセスはハッカーに侵入されたのか？

問題は、なぜ北朝鮮のハッカーがこれほど容易に Consensys の採用における身元調査をすり抜けることができたのかということです。

Matt Corva 氏は、「当社は、評判の良い第三者サービスプロバイダーとの既存の協力関係を通じて『Knapp』のことを知った」と説明していますが、これが Consensys が応募者に対して詳細な身元調査を行わなかった理由になるはずがありません。さらに不可解なのは、Consensys が採用プロセスにおいて Tyler Knapp に対して簡単な審査さえ行っていなかった可能性があることです。なぜなら、Tyler Knapp の北朝鮮のハッカーとしての正体はそれほど隠されておらず、一般の人が AI に質問するだけでも発見できたからです。

DeFi 研究者の @Zun2025 氏が X プラットフォームで投稿したところによると、この北朝鮮のハッカーの GitHub アカウントは imyugioh で、2025年9月から既に Lazarus Group のハッカーリストに公開されており、本名は Mauro Liu です。（Odaily：Lazarus Group は北朝鮮最大のハッカー組織であり、2025年の Bybit からの15億ドル盗難も Lazarus Group の仕業とされています）

北朝鮮のハッカー imyugioh、本名 Mauro Liu

Consensys が、Tyler Knapp が北朝鮮のハッカー組織と関連があるとどのように判断したのか、その本当の理由を明らかにしたがらないのは、おそらく自社の採用プロセスに欠陥があることを暴露するのを恐れているからでしょう。

Matt Corva 氏は後にこれについて、同社はエンジニアリングおよび開発業務の外部委託慣行に関する調査を開始したと弁明し、「当社は、すべての従業員に適用される厳格な基準が、より複雑な第三者協力関係にも同様に適用されることを確実にするために、すべての第三者サービス（既存の協力関係を含む）を精査しました」と述べています。

さらに皮肉なことに、MetaMask のセキュリティ責任者である Taylor Monahan 氏は、これまでずっと、北朝鮮のハッカーによる Web3 企業の採用プロセスへの侵入を注視していました。彼女は、北朝鮮の IT 専門家が DeFi プロジェクトに積極的に参加し、有名なプロトコルに貢献し続けており、DeFi/Web3 企業への侵入は単発的なものではなく、少なくとも7年間続いており、これまでに SushiSwap、THORChain、Fantom、Shiba Inu、Yearn Finance、Floki などのプロジェクトが影響を受けてきたと述べています。そして今、彼ら自身もそのリストに加わりました。

北朝鮮のハッカーを長年監視してきた MetaMask のセキュリティ責任者である Taylor Monahan 氏は、今回の MateMask による北朝鮮ハッカーの偶発的な雇用について、X プラットフォーム上で何の見解も表明していません。今回の出来事は「採用プロセスへの侵入には成功したが、攻撃の実行には至らなかった」というものですが、それでも MetaMask 内部の全体的なセキュリティ上の油断の状態を露呈させており、これは彼らが外部に築いているイメージとは全く一致しません。ウォレットの法定通貨入出金機能の開発という重要な製品モジュールにおいて、MetaMask が外部の人間にコアコードへのアクセスを許可していたのです。

Consensys のような大規模な暗号資産企業は、たとえ完全なコード監査体制を備えていても、企業規模が大きすぎるがゆえに、採用や外部委託の審査において小規模チームよりもはるかに脆弱であり、特に採用の段階でハッカーに突破されやすいのです。

北朝鮮ハッカーが社員になりすまして攻撃する方法が、最も成功しやすい手法に

この1年ほど、AI の知能とコード能力が向上するにつれ、多くの人がハッカーが AI を使ってプロトコルの脆弱性を見つけ、攻撃を成功させるのではないかと懸念しています。しかし、これまでの事例を見ると、大企業にとっては、ソーシャルエンジニアリング攻撃こそが北朝鮮のハッカーにとって最も成功しやすく、かつ最も多額の資金を盗む方法であるという、直感に反する事実があります。

外部からの技術的な攻撃を仕掛けるのに比べ、採用経路に潜入したり、応募者になりすましたりすることは、ハッカー組織にとってはコストが低くなります。オンチェーン探偵の ZachXBT 氏は、北朝鮮最大のハッカー組織 Lazarus Group の潜入手法の多くが驚くほどシンプルであり、例えば求人情報を掲載する、LinkedIn で連絡する、ダイレクトメッセージを送る、Zoom 通話や面接を行うなど、この方法の利点は持続性があり、「広く網を張れる」ことだと述べています。

同時に、この攻撃手法にはコストの非対称性もあります。北朝鮮のハッカーはほぼゼロコストで新しい身分を切り替えることができますが、リモートワーク、第三者への外部委託、オープンソースのコラボレーションを支援する大規模な暗号資産企業にとって、継続的な本人確認と審査は、人的・物的コストがかかる高価な支出となります。

多くの暗号資産企業は MetaMask ほど幸運ではなく、盗難が発生する前に「内部の敵」を見つけ出すことができませんでした。

2026年4月、北朝鮮のハッカーは6か月かけて Drift Protocol に潜入し、偽の採用・協力などを通じて内部権限を取得し、結果として約2億8500万ドルのユーザー資産が盗まれました。さらに以前の事例では、2024年に北朝鮮のハッカーが採用を通じて Bitcoin DMM 取引所に潜入し、内部アクセス権限を取得した後、約3億800万ドルを盗みました。2022年には、北朝鮮のハッカーがブロックチェーンゲーム開発者になりすまして Ronin Network に入社し、最終的に直接 Ronin ブリッジが攻撃され、約6億2000万ドルの損失が発生しました。これは当時、史上最大の暗号資産ハッキング事件の一つでした。

MetaMask は辛うじて事故を免れましたが、警告を免れたわけではありません。今日の暗号資産業界にとって、最大のセキュリティリスクはもはやコード自体にはなく、コードの外側にあるのかもしれません。ブロックチェーンのセキュリティ境界は、もはやオンチェーンから現実世界へと拡張されています。コードは繰り返し監査でき、コントラクトは継続的にアップグレードできますが、身分を検証することは困難です。かつて人々はスマートコントラクトが暗号資産業界の最も脆弱な部分だと考えていましたが、今にして思えば、真に防御が難しいのは、常に管理プロセス、そしてそのプロセスの背後にいる人間なのです。