Une infiltration par le recrutement, pas par le code
Depuis mars 2026, un consultant lié à la Corée du Nord travaillait sur le code central de MetaMask. Recruté via un prestataire tiers réputé, il opérait sous l'alias Tyler Knapp, avec le pseudonyme GitHub imyugioh. Pendant environ un mois, il a eu accès au code de la plateforme MetaMask, notamment aux fonctionnalités de conversion crypto vers monnaie fiduciaire via des fournisseurs tiers. Consensys a découvert l'infiltration en juillet 2026 et y a mis fin immédiatement, selon le rapport de Dropsite News.
Le vecteur d'entrée n'était pas une faille technique dans un smart contract ni une attaque de la chaîne d'approvisionnement logicielle. C'était un entretien d'embauche, un CV, une fausse identité suffisamment crédible pour passer les filtres d'un prestataire de recrutement. Le maillon faible, ici, était humain.
Réponse immédiate et audit sans alerte majeure
Dès la détection de la menace, Consensys a appliqué un protocole en trois temps : révocation de l'ensemble des accès du consultant, mise en pause des sorties produit et lancement d'un audit complet du code source. Les autorités compétentes ont également été notifiées et toutes les informations pertinentes leur ont été transmises.
Le verdict de l'audit est rassurant. Aucun code malveillant n'a été déployé, aucune donnée utilisateur n'a été exfiltrée, aucun actif n'a été détourné. MetaMask, qui compte parmi les wallets les plus utilisés de l'écosystème, n'a subi aucun impact opérationnel direct.
Cela ne minimise pas la gravité de l'incident. Un accès d'un mois au code d'un wallet de cette envergure représente une fenêtre d'exposition significative, même si elle n'a pas été exploitée. Le fait que l'infiltration soit passée par un prestataire tiers soulève des questions concrètes sur les processus de vérification d'identité appliqués en amont du recrutement de contributeurs externes, y compris dans les structures les plus établies du secteur.
Pourquoi c'est important pour vos actifs
Les attaques nord-coréennes contre l'industrie crypto ne sont pas nouvelles. Ce qui change avec cet incident, c'est la méthode : non plus un exploit on-chain ou un phishing ciblé, mais une infiltration longue durée via le marché du travail. Un développeur fantôme, intégré dans une équipe légitime, disposant d'un accès en lecture et en écriture sur du code de production.
Pour les utilisateurs de MetaMask, la conclusion immédiate est claire : aucun actif n'a été compromis dans cet épisode. Mais l'incident illustre que la sécurité d'un wallet ne se résume pas à ses audits de smart contracts. Elle dépend aussi de la robustesse des processus de vérification des identités de tous ceux qui touchent au code, qu'ils soient salariés directs ou prestataires.
