MetaMask «casi» es hackeada por la contratación de un atacante norcoreano 

Matt Corva, asesor general de Consensys, la empresa creadora de MetaMask, aseguró el pasado 17 de julio que la compañía contrató sin saberlo a un atacante informático vinculado a Corea del Norte, que se hizo pasar por consultor de software bajo el alias «Tyler Knapp».

Corva sostuvo que esa infiltración, que se extendió durante aproximadamente un mes, no derivó en ningún robo de fondos ni en ninguna falla de seguridad para los usuarios de la wallet MetaMask, en donde trabajó el hacker.

Dos días después, sin embargo, el equipo de Consensys publicó en X un comunicado mencionando que en realidad ese hacker no había sido empleado de la compañía, y asegurando que se habían tergiversado los hechos respecto a la contratación:

A principios de este año, identificamos y contuvimos una amenaza proveniente de un individuo contratado como consultor a través de un proveedor externo. El individuo nunca fue un empleado de Consensys. Después de que la amenaza fue identificada rápidamente, terminamos de inmediato todo acceso, lanzamos una investigación exhaustiva y notificamos a las autoridades policiales. Nuestra investigación confirmó que no se implementó código malicioso, que no se vieron comprometidos activos o datos de clientes, y que no hubo impacto en la seguridad, los fondos o la seguridad de los usuarios.

Comunicado de Consensys.

De acuerdo con mensajes internos de Consensys obtenidos por un medio, el atacante identificado como «Tyler Knapp» habría ingresado a esta compañía a través de un proveedor externo del que la empresa ya tenía una relación previa de confianza.

Bajo el usuario de GitHub «imyugioh», Knapp habría trabajado en el código central de MetaMask, incluida la conversión entre criptomonedas y dinero fiduciario a través de proveedores de pago externos, y también contribuyó a la versión para teléfonos móviles de la aplicación, conforme al mismo medio. Sus contribuciones habrían comenzado el 9 de marzo de 2026 y se detuvieron abruptamente en abril de este mismo año, cuando Consensys le retiró el acceso.

En abril, Corva envió un comunicado interno a toda la compañía en el que ordenó suspender de inmediato todos los lanzamientos de productos hasta que concluyera la investigación sobre «Tyler Knapp», y pidió a los empleados no interactuar con esa persona mientras se realizaban las averiguaciones, informó la misma fuente.

El directivo también solicitó que el asunto se mantuviera confidencial puertas adentro mientras avanzaba la investigación y, posteriormente, la pesquisa terminó confirmando que «Tyler Knapp» estaba vinculado a la República Popular Democrática de Corea.

MetaMask es una de las wallets más utilizadas del ecosistema Ethereum. Según datos del propio proyecto, la aplicación supera los 100 millones de descargas y ha procesado billones de dólares en volumen acumulado de transacciones. En ese contexto, una vulnerabilidad o infiltración en su código tendría el potencial de comprometer la seguridad de una herramienta utilizada masivamente para gestionar activos digitales.

¿Quién sería el atacante detrás del alias «Tyler Knapp»?

El sitio web Grupo Lazarus, una plataforma impulsada por el equipo de Security Alliance (SEAL) que recopila información sobre presuntos trabajadores informáticos vinculados a Corea del Norte para ayudar a empresas a detectar y prevenir infiltraciones, identifica a la persona detrás del alias «Tyler Knapp» con el nombre de Mauro Liu. El nombre «Grupo Lazarus» proviene precisamente del mismo nombre con el que se conoce a uno de los atacantes más conocidos, autores de hackeos como al del exchange Bybit, el más grande de toda la historia en el ecosistema de criptomonedas.

Datos de esa misma web además aseguran que en el pasado Mauro Liu había trabajado previamente en 12 protocolos de criptomonedas, de los que al menos tres fueron hackeados: Harmony, Pickle Finance y Ankr.

El investigador y analista de seguridad conocido en la red social X como Zun cuestionó que Consensys no haya realizado una verificación de antecedentes adecuada antes de incorporar a «Tyler Knapp».

MetaMask contrató a un atacante vinculado a Corea del Norte como desarrollador sin siquiera hacer una verificación de antecedentes que lo habría detectado. Su usuario de GitHub, imyugioh, ya estaba publicado en el sitio del Grupo Lazarus desde septiembre de 2025, y aun así MetaMask contrató a esa persona en marzo de 2026.

Zun, investigador y analista de seguridad.

El investigador Zun agregó con un tono alarmante: «Imaginen que una de las principales aplicaciones de gestión de claves le entregó acceso al repositorio central del código a alguien que ya figuraba en una lista pública vinculada a Corea del Norte. Ahora piensen qué está pasando en otros protocolos más chicos que ni siquiera tienen equipo de seguridad«.

La perspectiva de analistas

El director financiero de Ledger, John Andrews, también se refirió al caso a través de la red social X. «Consensys le cortó el acceso después de un mes y dijo que realizó una auditoría de seguridad y no encontró nada. Esperemos que estén en lo cierto», escribió Andrews.

Agregó además: «Los actores de amenazas no van a desaparecer. De hecho, se están volviendo más efectivos gracias a los modelos de inteligencia artificial como nueva herramienta. Básicamente, cualquier arquitectura de seguridad basada en la nube es una puerta de entrada para los Tyler Knapp de este mundo. La arquitectura más segura para las claves está en el hardware. Muros de silicio, no de código, es la mejor protección en un mundo de inteligencia artificial y activos tokenizados».

Matías Mathey, especialista en autocustodia de bitcoin, opinó que «esto no es un ataque externo, es un ataque a la cadena de suministro. No atacaron a los usuarios, atacaron al equipo que escribe el software que los usuarios instalan. El antivirus no detecta el código malicioso que viene desde adentro del equipo de desarrollo».

El episodio de «Tyler Knapp» muestra que ni siquiera una de las empresas más grandes del sector estuvo exenta de este tipo de infiltración, y refuerza los pedidos de distintas voces de la industria para que las empresas de criptomonedas refuercen la verificación de antecedentes al contratar desarrolladores externos, sobre todo cuando ese acceso alcanza al código central de productos usados por millones de personas.