Auteur : Liam 'Akiba' Wright
Compilation : Deep Tide TechFlow
Introduction Deep Tide : Un sous-traitant lié à la Corée du Nord a obtenu l'accès au référentiel de code de MetaMask par le biais d'un fournisseur tiers, travaillant du 9 mars jusqu'à son expulsion en avril. Bien que Consensys affirme n'avoir détecté aucun vol d'actifs ni code malveillant, cet incident met en lumière une faille critique dans la gestion de la sous-traitance des projets cryptos : 76 % des fonds volés dans le DeFi proviennent de défaillances opérationnelles liées aux autorisations, et non de vulnérabilités du code.
Un sous-traitant engagé par Consensys via un fournisseur tiers a participé aux travaux sur le code de MetaMask à partir du 9 mars, son accès n'ayant été révoqué qu'en avril. Consensys a ensuite décrit cette personne comme étant liée à la Corée du Nord.
Consensys a indiqué que son enquête n'avait révélé aucune appropriation frauduleuse d'actifs ou de données, aucun déploiement de code malveillant et aucun impact sur la sécurité des utilisateurs. Le conseiller juridique général, Matt Corva, a déclaré que la société avait rapidement identifié la menace, mis fin à l'accès, lancé une enquête complète et informé les autorités.
Selon Drop Site, une alerte interne en avril a demandé la suspension de toutes les publications de produits pour faciliter l'enquête et a conseillé aux employés de ne pas interagir avec ce consultant. Corva a affirmé que la relation avec ce fournisseur de services était bonne, et que Consensys avait depuis révisé ses pratiques avec les prestataires tiers, étendant les normes strictes appliquées aux employés à ces relations externes plus complexes.
La revue des sous-traitants nécessite des restrictions d'accès au référentiel de code
Rien n'indique que les comptes utilisateurs ou les actifs des portefeuilles aient été compromis lors de cet incident. La relation existante de Consensys avec le fournisseur présentait toujours une vulnérabilité : chaque sous-traitant et compte nécessite ses propres garanties.
Les directives générales de sécurité de MetaMask avertissent que des travailleurs malveillants peuvent utiliser de fausses identités et des documents falsifiés pour obtenir des postes à distance. Elles recommandent de vérifier les documents authentiques, de mener plusieurs entretiens, d'utiliser l'authentification matérielle, de valider l'IP et la localisation, d'effectuer des vérifications de antécédents et de limiter l'accès aux systèmes critiques.
Le FBI met également en garde contre les travailleurs informatiques nord-coréens qui utilisent l'accès aux réseaux d'entreprise pour copier des référentiels de code. Ses directives préconisent une vérification d'identité lors des entretiens, de l'intégration et tout au long de l'emploi, des audits réguliers des sociétés de travail intérimaire tierces, un accès au minimum de privilèges et une surveillance des connexions à distance anormales ou des exfiltrations de code.
Les autorisations et la revue du référentiel de code sont des garanties essentielles
Après l'intégration, les autorisations et la revue du référentiel de code deviennent des mesures de protection essentielles. Les directives du National Cyber Security Centre britannique recommandent de rendre l'activité du référentiel traçable, de revoir chaque modification en environnement de production, d'appliquer un examen supplémentaire aux contributions externes et de révoquer rapidement les accès lorsqu'ils ne sont plus nécessaires. Des identifiants matériels peuvent protéger les comptes contre le vol de données d'authentification, tandis que des autorisations strictement limitées et des examens indépendants peuvent restreindre les modifications possibles par les comptes autorisés.
CryptoSlate a rapporté le 5 juillet qu'au premier semestre 2026, environ 76 % des fonds volés provenaient d'attaques opérationnelles ciblant les clés, la garde, les signatures et les systèmes d'approbation, bien que les vulnérabilités des contrats intelligents soient plus fréquentes. Cet écart explique pourquoi les contrôles d'accès et opérationnels sont importants, même s'ils génèrent moins d'incidents.
Les équipes de portefeuilles et de protocoles devraient considérer l'accès des sous-traitants comme étant continuellement conditionnel. Les vérifications d'identité doivent être menées tout au long de la période d'emploi, les sociétés tierces doivent être auditées, les autorisations sur les référentiels de code doivent rester restreintes et observables, chaque modification en production doit être examinée indépendamment, et les accès doivent être révoqués immédiatement dès qu'ils ne sont plus nécessaires.
La suspension des publications par Consensys en avril montre également la valeur de disposer de moyens prédéfinis pour suspendre les modifications, afin de pouvoir les utiliser lors d'enquêtes sur des accès suspects.
