MetaMask heuerte mutmaßlich nordkoreanischen Entwickler an - Monate zuvor gemeldet
Einem am 20. Juli 2026 von Protos veröffentlichten Bericht zufolge beschäftigte die Krypto-Wallet-Firma MetaMask einen Entwickler, den der Bericht als mutmaßlichen nordkoreanischen Maulwurf beschreibt und der laut einem Sicherheitsanalysten bereits fast ein Jahr vor der Beauftragung auf einer öffentlichen Tracking-Seite geführt worden sein soll. Protos stützt sich dabei auf Recherchen von DropSite News und auf Angaben eines DeFi-Sicherheitsanalysten, der unter dem Namen Zun auftritt.
Dem Bericht zufolge wurde der Entwickler Berichten zufolge von MetaMasks Mutterfirma Consensys als Berater angeheuert, während er unter dem Alias "Tyler Knapp" auftrat. Laut Protos soll er bis zu seinem Ausscheiden im April GitHub-Beiträge zur Wallet von MetaMask geleistet haben. Der Vorspann des Berichts beschreibt ihn als jemanden, der "einen ganzen Monat lang" am Kern-Wallet-Code von MetaMask gearbeitet habe.
Was berichtet die Quelle über den nordkoreanischen Entwickler bei MetaMask?
Die zentrale Behauptung wird Zun zugeschrieben. Protos schreibt, Zun behaupte, Knapp sei "bereits im September 2025 auf einer öffentlichen Tracking-Seite für Operateure der Lazarus Group markiert worden". Das wird im Bericht als Behauptung Zuns dargestellt, nicht als gesicherte Feststellung, und Protos berichtet nicht, dass Consensys dies bestätigt hätte.
Die Tracking-Seite wird von der Security Alliance betrieben. Dem Bericht zufolge "erstellt sie Profile bekannter externer IT-Arbeitskräfte der Demokratischen Volksrepublik Korea (DVRK) in der Hoffnung, dass dies Unternehmen hilft, sie vor einer Einstellung zu erkennen". Auf dieser Seite erscheint die Person, die den Knapp-Alias verwendet, dem Bericht zufolge unter dem Namen "Mauro Liu" und wird über den GitHub-Benutzernamen "imyugioh" mit MetaMask in Verbindung gebracht.
Der Bericht führt außerdem frühere Tätigkeiten auf, die demselben Profil zugeordnet werden. Er "scheine" für die Web3-Spielefirma MagicCraft im Jahr 2022 und für die DeFi-Produktfirma Napier Finance im Jahr 2023 gearbeitet zu haben. Die weiteren im Profil aufgeführten Firmen sind laut Protos:
- Ankr
- Pickle Finance
- Harmoney
- Gamerse
- Clover Network
- DEPO
- Sifu Vision
- Oxytocin
- Tomodachi
- Blueberry
Die Einschränkung stammt aus dem Bericht selbst: Protos formuliert bei MagicCraft und Napier Finance "scheint gearbeitet zu haben" und stellt die übrigen als im Profil aufgeführte Firmen dar. Der Bericht erklärt nicht, dass eines dieser Unternehmen eine Zusammenarbeit bestätigt hätte, und enthält keine Stellungnahme dieser Firmen.
Was sagte Consensys zu dem Entwickler?
Der General Counsel von Consensys, Matt Corva, sagte gegenüber DropSite, der Entwickler sei "uns über eine bestehende Beziehung zu einem renommierten Drittdienstleister vorgestellt worden".
Corva wird weiter zitiert: "Sehr schnell nach der Vorstellung entdeckten wir die Bedrohung, folgten unseren Sicherheitsprotokollen, beendeten unverzüglich jeglichen Zugriff und leiteten eine umfassende Untersuchung ein, die bestätigte, dass es keine Veruntreuung von Vermögenswerten oder Daten gab, kein Schadcode ausgerollt wurde und keine Auswirkungen auf Sicherheit und Schutz der Nutzer bestanden."
Diese Aussage ist die eigene Darstellung des Unternehmens über seine eigene Untersuchung. Protos berichtet weder von einer unabhängigen Überprüfung noch von einer Feststellung einer Aufsichts- oder Strafverfolgungsbehörde.
Auf welchen Code hatte der Entwickler Zugriff?
Über die Wallet-Beiträge hinaus berichtet Protos, DropSite berichte "auf Grundlage interner Slack-Nachrichten, dass Knapp auch an Code mitgearbeitet habe, der die Umwandlung von Krypto- und Fiat-Währung durch Zahlungsdienstleister Dritter betreffe". Protos nennt diese Zahlungsdienstleister nicht, beschreibt die Beiträge nicht näher und erklärt nicht, dass in diesem Code ein Mangel oder eine Hintertür gefunden worden wäre. Corvas zitierte Aussage besagt, dass kein Schadcode ausgerollt wurde.
Warum MetaMask und der mutmaßlich nordkoreanische Entwickler vor allem eine Frage der Einstellungskontrolle sind
Eng gelesen beschreibt der Bericht eine Frage der Überprüfung und keinen bestätigten Schaden. Nach der eigenen, oben zitierten Darstellung des Unternehmens wurden weder Vermögenswerte noch Daten veruntreut und es wurden keine Auswirkungen auf Nutzer festgestellt. Der strittige Punkt im Bericht ist der Zeitpunkt: ob Informationen, die die Person identifiziert hätten, bereits vor Beginn der Beauftragung öffentlich verfügbar waren.
Genau das macht die Seite der Security Alliance für diese Geschichte zentral. Protos beschreibt ihren Zweck damit, Unternehmen dabei zu helfen, externe IT-Arbeitskräfte der DVRK "vor einer Einstellung" zu erkennen — also als Kontrolle vor der Beauftragung und nicht als Reaktion danach. Zuns Behauptung lautet dem Bericht zufolge, MetaMask habe den Entwickler ohne eine "ordentliche Hintergrundprüfung, die ihn erfasst hätte" eingestellt.
Consensys erklärt in der zitierten Stellungnahme, die Vorstellung sei über "eine bestehende Beziehung zu einem renommierten Drittdienstleister" erfolgt, womit ein Teil der Prüfungsfrage bei einem Vermittler liegt und nicht allein beim einstellenden Unternehmen. Protos nennt diesen Dienstleister nicht und berichtet von keiner Stellungnahme seinerseits.
Für jedes Unternehmen, das Auftragnehmer über Vermittler einbindet, ist die im Bericht beschriebene Problemform eher prozessualer als technischer Natur: eine Vorstellung, die eine stillschweigende Zusicherung mitträgt, und eine öffentliche Liste, die nur den Unternehmen nützt, die sie tatsächlich abfragen. Nichts im Bericht belegt, welche Prüfungen durchgeführt wurden oder unterblieben. Zuns Darstellung ist eine Behauptung; die Stellungnahme von Consensys betrifft das Vorgehen nach der Entdeckung und nicht das Vorgehen vor der Einstellung.
Was geschah im Fall Stabble?
Der Bericht schließt mit einem früheren Vorfall, den er als vergleichbar darstellt. Er schreibt, "im vergangenen April" sei "ein nordkoreanischer Maulwurf namens 'Moo' von dem Krypto-Ermittler ZachXBT benannt und von der auf Solana basierenden DEX Stabble entlassen worden". Laut Protos habe die Firma "anschließend alle ihre Nutzer aufgefordert, sämtliche Gelder abzuziehen". Der Bericht erklärt, Moo, "mit bürgerlichem Namen Keisuke Watanabe", sei "nach eigenen Angaben ein ganzes Jahr lang" bei Stabble beschäftigt gewesen.
Die Formulierung "nach eigenen Angaben" stammt aus dem Bericht. Protos legt nicht dar, worin diese Angabe bestand, wo sie gemacht wurde oder von wem sie festgehalten wurde.
Was ist bislang nicht belegt?
Mehrere Elemente der Darstellung sind zugeschrieben und nicht bestätigt; sie sind auseinanderzuhalten:
- Dass die Person im September 2025 markiert wurde, ist Zuns Behauptung, wie von Protos berichtet.
- Die Zuordnung des Alias zum Profil "Mauro Liu" und zum GitHub-Konto "imyugioh" stammt von der Seite der Security Alliance, wie Protos sie beschreibt.
- Die frühere Tätigkeitsliste trägt die Einschränkung des Berichts selbst: "scheint gearbeitet zu haben".
- Die Darstellung der internen Slack-Nachrichten ist die Berichterstattung von DropSite.
- Die Feststellung, dass keine Veruntreuung vorlag, stammt von Consensys aus einer selbst durchgeführten Untersuchung.
Protos berichtet weder von einer Anklage noch von einer Sanktionslistung, einer aufsichtsrechtlichen Maßnahme oder einer gerichtlichen Feststellung gegen eine in dem Artikel genannte Person, und nichts hiervon ist als solche zu verstehen. Der vollständige Bericht ist bei Protos verfügbar.