ウォレットのソースコード MetaMask は、その後北朝鮮と関連付けられた第三者企業に結び付いた請負業者に対して、約1か月間アクセス可能な状態となっていた。この事案は3月9日から4月の間に発生し、その期間中、この担当者はConsensysのリポジトリで作業していたが、その後同社によってアクセスを停止された。
Consensysによると、社内調査の結果、資産の盗難、ユーザーデータの漏えい、悪意あるコードの挿入、またはウォレットのセキュリティへのいかなる影響もなかったと結論付けられた。状況を特定した後、同社は直ちに請負業者の権限を取り消し、全面的な調査を開始し、当局にこの事案を通報した。
同社の法務責任者であるMatt Corvaは、脅威は迅速に検出され、第三者サプライヤーとの関係はそれまで信頼できるものと見なされていたと述べた。事件後、Consensysは外部パートナーが社内従業員に求められるのと同じセキュリティ基準に従うよう、管理体制の強化を進めるようになった。
調査の間、社内通達により製品リリースの一時停止が決定され、分析が進行中の間は請負業者と連絡を取らないよう従業員に指示された。
この出来事はMetaMaskユーザーのアカウントや資金を損なうことはなかったものの、第三者管理プロセスにおける欠陥を明らかにした。同社は、各請負業者が、リポジトリへの限定的な権限や独自の認証メカニズムを含む、個別のセキュリティ管理を備えるべきだと強調した。
MetaMaskのセキュリティ勧告でも、悪意ある者が偽の身元や改ざんされた書類を使ってリモートの職を得ようとする可能性があると警告している。提案されている対策には、書類の厳格な確認、複数回の面接、ハードウェアによる認証、位置情報とIPアドレスの確認、職務上の照会の確認、および最も機微なシステムへのアクセス制限が含まれる。
米国当局も、コードリポジトリをコピーするために企業ネットワークへのアクセスを求める北朝鮮関連のIT労働者について企業に警告してきた。指針には、サプライヤーに対する頻繁な監査、最小権限の原則の適用、通常ではないリモート接続の監視、本番向けのあらゆる変更の独立したレビューが含まれる。
新たな協力者の統合後、専門家は権限の継続的な管理が不可欠になると指摘している。リポジトリ内の活動の追跡、不必要なアクセスの即時取り消し、変更の必須レビューは、暗号資産およびデジタルウォレットに関連するプロジェクトにおける運用リスクを低減するための基本的な措置と見なされている。