Um subcontratado ligado à Coreia do Norte teve acesso ao código-fonte da MetaMask durante cerca de um mês antes de a Consensys pausar os lançamentos, num incidente que sublinha como a superfície de ataque da cadeia de fornecimento das criptomoedas se deslocou de forma decisiva para montante do código implementado. O contratante, a trabalhar através de um fornecedor de terceiros, tinha o tipo de credenciais de repositório e desenvolvimento que permitiriam a um único posto de trabalho comprometido chegar à lógica da carteira usada por dezenas de milhões de utilizadores.
Porque é importante
A campanha encaixa num guião familiar da RPDC aplicado a uma nova camada: atacar programadores, não utilizadores finais. Ao roubar tokens do GitHub, chaves SSH, credenciais de cloud, ficheiros de carteira e variáveis de ambiente de uma máquina de um contratante, os atacantes podem introduzir código malicioso na cadeia de lançamento de um protocolo semanas antes de qualquer auditoria ou monitorização on-chain ter hipótese de o detetar. A própria carteira nunca tem de ser hackeada para os utilizadores perderem fundos; a compilação que envia a próxima atualização do cliente pode transportar a carga útil.
Impacto no mercado
A base de utilizadores da MetaMask torna-a o alvo de maior destaque nesta categoria, mas a leitura para o resto do setor cripto é estrutural. Qualquer projeto que dependa de engenharia subcontratada ou de colaboradores de terceiros tem agora de assumir o mesmo modelo de ameaça: o perímetro já não é o smart contract, é o portátil do programador e o fornecedor através do qual reporta. É de esperar uma triagem mais apertada dos colaboradores, MFA obrigatória com chave de hardware no acesso ao repositório e um escrutínio renovado da prova de compilação como resposta mínima.
Perguntas frequentes
-
O que aconteceu no incidente com o subcontratado da MetaMask?
Um subcontratado ligado à Coreia do Norte, a trabalhar através de um fornecedor de terceiros, teve acesso ao código-fonte da MetaMask durante cerca de um mês antes de a Consensys interromper os lançamentos, levantando receios de que código contaminado pudesse ter chegado à cadeia de compilação da carteira.
-
Como funciona um ataque à cadeia de fornecimento centrado em programadores?
Os atacantes comprometem o posto de trabalho de um contratante e roubam tokens do GitHub, chaves SSH, credenciais de cloud, ficheiros de carteira e variáveis de ambiente, e depois introduzem código malicioso no repositório ou na cadeia de lançamento de um projeto semanas antes de qualquer auditoria ou monitorização…
-
Porque é isto mais arriscado do que atacar diretamente a carteira?
A carteira do utilizador final nunca precisa de ser violada para haver perdas. Uma compilação contaminada enviada na próxima atualização do cliente pode levar a carga útil diretamente a todos os utilizadores da MetaMask, multiplicando a área de impacto para além de um único alvo.
-
Que ator de ameaça se acredita estar por trás da campanha?
O contratante está ligado à Coreia do Norte, um ator alinhado com o Estado que tem historial documentado de visar programadores de cripto através de spear-phishing, falsos recrutadores e relações comprometidas com fornecedores.
-
O que devem fazer os projetos cripto em resposta?
Devem esperar uma triagem mais apertada dos colaboradores, MFA obrigatória com chave de hardware no acesso ao repositório, permissões mais limitadas para fornecedores e maior ênfase na prova de compilação, para que os consumidores a jusante possam verificar o que estão realmente a executar.
Lookonchain
TheBlock
CoinTelegraph
WatcherGuru
CoinDesk
WuBlockchain