MetaMask 十周年之际曝出招聘安全漏洞：一名朝鲜黑客曾接触核心钱包代码

一场未遂的内部渗透

上周，MetaMask 庆祝成立十周年。然而喜庆氛围尚未散去，一则内部安全事件浮出水面：一名身份可疑的外包顾问，在未经充分背景审查的情况下，被引入参与 MetaMask 核心钱包开发，尤其涉及法币出入金功能模块。

假身份、真威胁

该人员使用化名“Tyler Knapp”，GitHub 账号为 imyugioh，于2026年3月9日经由 Consensys 长期合作的第三方人力资源供应商入职，担任咨询顾问。内部 Slack 记录显示，其不仅进入工程协作环境，更直接接触 MetaMask 主干代码库，并参与关键资金通道功能的开发工作。

一个月内被识别，但暴露深层隐患

入职约一个月后，Consensys 内部安全部门发现异常行为，启动调查并最终确认“Tyler Knapp”实为朝鲜黑客组织 Lazarus Group 成员，真实身份指向公开情报中已标记的 Mauro Liu。公司随即终止其全部系统权限，同步执法部门，并紧急暂停所有产品发布流程，要求全员保密、禁止接触此人。

背调形同虚设？一个AI就能识破的身份

值得注意的是，该黑客的 GitHub 账号 imyugioh 自2025年9月起已被多家开源安全社区及链上追踪团队列为 Lazarus Group 关联账户，并出现在公开的威胁情报名单中。有研究者指出，仅通过基础检索与AI辅助交叉验证，即可快速关联其真实背景。而 Consensys 方面未说明具体判定依据，也未解释为何在入职前未执行基础尽职调查。

不是孤例，而是惯用战术

这不是朝鲜黑客首次以应聘者身份渗透 Web3 项目。MetaMask 安全负责人 Taylor Monahan 此前多次预警：过去七年中，Lazarus Group 持续以开发者身份混入主流协议团队，受影响项目包括 SushiSwap、THORChain、Fantom、Shiba Inu、Yearn Finance 和 Floki 等。此次事件，不过是这一长期策略的最新印证。

招聘链路，正成为最大攻击面

相比技术性漏洞利用，社会工程学式的招聘渗透成本更低、隐蔽性更强、持续时间更长。Lazarus Group 常见手法包括：在 LinkedIn 发布虚假岗位、主动私信开发者、安排 Zoom 面试、伪造学历与项目经历——整套流程无需高超技术，却足以绕过多数企业外包审核机制。

代价早已显现

2026年4月，Drift Protocol 因类似方式遭渗透，导致2.85亿美元损失；2024年 Bitcoin DMM 交易所被同一模式攻破，失窃3.08亿美元；2022年 Ronin Network 更因一名伪装成游戏开发者的黑客获得内部权限，最终桥接合约被攻陷，造成6.2亿美元损失——至今仍是加密史上单次损失最高事件之一。

代码可审计，人难验证

MetaMask 此次侥幸未造成实际损失，但它敲响的警钟极为清晰：当行业普遍依赖远程协作、开源贡献与第三方外包时，“身份可信”正取代“代码无bug”，成为新的安全瓶颈。智能合约可以反复重写，协议可以持续升级，但一个被放行的错误身份，可能在数月甚至数年内潜伏于核心系统之中。真正的防线，不在链上，而在 HR 流程、权限分级与持续验证机制之中。