MetaMask expuso su código a un contratista vinculado a Corea del Norte durante un mes

Consensys, la empresa detrás de la billetera MetaMask, mantuvo su código expuesto a un contratista vinculado a Corea del Norte durante aproximadamente un mes antes de detener sus lanzamientos, según trascendió. La compañía asegura que no detectó activos ni datos comprometidos, ningún código malicioso desplegado y ningún impacto para los usuarios, aunque sus controles de acceso a contratistas quedaron bajo escrutinio.

El incidente reaviva las alarmas sobre la infiltración de operativos norcoreanos en empresas de criptomonedas mediante identidades falsas y contratos remotos, una táctica que las autoridades estadounidenses vienen advirtiendo desde hace meses. En este caso, el problema no fue un hackeo externo tradicional, sino un acceso interno concedido a alguien que no debía tenerlo.

Qué reveló el caso de MetaMask y Corea del Norte

De acuerdo con lo reportado inicialmente, el contratista habría tenido acceso al repositorio de código de MetaMask antes de que Consensys interrumpiera los despliegues como medida preventiva. La ventana de exposición se extendió cerca de un mes, período durante el cual, según la firma, no se produjo alteración alguna del código que llega a los usuarios finales.

Publicidad

Consensys realizó una revisión interna tras identificar la situación. Su conclusión, comunicada públicamente, apunta a que no hubo fuga de información sensible ni manipulación del software. Aun así, el episodio deja al descubierto una debilidad conocida del sector: la contratación remota de desarrolladores sin verificaciones de identidad suficientemente estrictas.

La billetera MetaMask es una de las más utilizadas del ecosistema Ethereum, con decenas de millones de usuarios que la emplean para gestionar fondos e interactuar con aplicaciones descentralizadas. Cualquier compromiso en su cadena de desarrollo tendría implicaciones enormes, lo que explica la rapidez con la que la empresa cortó los lanzamientos.

Corea del Norte y la infiltración de trabajadores IT

El patrón no es nuevo. Operativos vinculados al régimen de Pyongyang han logrado colarse en compañías tecnológicas y de criptomonedas presentándose como desarrolladores independientes, a menudo usando documentación robada o generada artificialmente. El objetivo suele ser doble: generar ingresos en divisas para el régimen, sujeto a sanciones internacionales, y abrir la puerta a robos de fondos o accesos privilegiados.

El FBI ya había advertido por separado sobre esta modalidad, alertando a las empresas del sector cripto sobre los riesgos de contratar personal técnico sin controles rigurosos. La propia MetaMask publicó en su momento una guía sobre estafas laborales dirigidas al ecosistema.

Estas campañas se apoyan cada vez más en herramientas sofisticadas. En los últimos meses se han documentado múltiples casos de software malicioso diseñado específicamente para robar criptoactivos, desde el malware Okobot distribuido mediante apps falsas en GitHub hasta juegos comprometidos que vaciaban billeteras. La ingeniería social y la suplantación de identidad son piezas centrales de esa estrategia.

Controles de acceso bajo la lupa

Más allá de que no haya habido daño confirmado, el episodio pone el foco en cómo las empresas gestionan los permisos de terceros sobre sus sistemas críticos. Un contratista con acceso al repositorio de una billetera de esta escala representa un punto único de fallo si no está debidamente auditado.

Las recomendaciones de seguridad en desarrollo de software insisten en principios básicos que este caso pone a prueba: verificación de identidad de colaboradores externos, permisos mínimos necesarios, revisión de cada cambio antes de su integración y monitoreo continuo de la actividad en el repositorio. El Centro Nacional de Ciberseguridad británico mantiene guías específicas sobre cómo proteger un repositorio de código.

Para una billetera no custodial, donde el usuario controla directamente sus claves, la integridad del software es la última línea de defensa. Un fragmento de código malicioso incrustado en una actualización podría, en teoría, filtrar frases semilla o desviar transacciones sin que la víctima lo note. Ese es precisamente el escenario que Consensys buscó evitar al frenar los despliegues.

Un riesgo estructural para todo el sector

El caso de MetaMask no es un hecho aislado, sino un síntoma de un problema que afecta a buena parte de la industria: la dependencia de talento distribuido globalmente y contratado de forma remota, difícil de verificar con las herramientas tradicionales de recursos humanos.

Grupos de análisis de seguridad estiman que la infiltración de trabajadores norcoreanos en empresas cripto ha generado cientos de millones de dólares para el régimen a lo largo de los años, combinando salarios cobrados de forma fraudulenta con robos directos. Las compañías que operan con activos digitales enfrentan así una amenaza que no siempre se combate con firewalls, sino con procesos de contratación más estrictos.

Consensys sostiene que actuó con la debida diligencia una vez detectado el problema y que el impacto fue nulo para su base de usuarios. La pregunta que queda abierta es si el resto de la industria está preparada para identificar estos accesos antes de que se conviertan en un incidente mayor.