- Consensys, la empresa detrás de MetaMask, pausó temporalmente sus lanzamientos de producto tras descubrir a un consultor vinculado a Corea del Norte en su plantilla.
- El infiltrado operó bajo el alias «Tyler Knapp» y tuvo acceso durante cerca de un mes, entre el 9 de marzo y abril, a partes del código central de MetaMask.
- La compañía asegura que no hubo robo de activos, ni código malicioso, ni impacto en la seguridad de los usuarios.
- El caso lo destapó una investigación de Drop Site News a partir de registros públicos de GitHub y mensajes internos.
Consensys, la desarrolladora de software de Ethereum responsable de la cartera MetaMask, detuvo temporalmente sus lanzamientos de producto tras confirmar que un consultor vinculado a Corea del Norte trabajó en su infraestructura durante aproximadamente un mes, según reportó el medio estadounidense Drop Site News y recogió crypto.news este 18 de julio de 2026.
El desarrollador se incorporó a la empresa bajo el alias «Tyler Knapp», con el usuario de GitHub «imyugioh», y comenzó a contribuir código el 9 de marzo. Su acceso se prolongó hasta abril, cuando la compañía detectó la amenaza y cortó sus credenciales.
El infiltrado tocó código de la plataforma central de MetaMask
De acuerdo con la investigación, el consultor accedió a secciones del código central de MetaMask utilizadas para conectar a los usuarios con proveedores externos de pagos en moneda fiduciaria, es decir, las pasarelas que permiten comprar criptomonedas con tarjeta o transferencia dentro de la propia cartera.
Vale destacar que MetaMask es la cartera autocustodiada más utilizada del ecosistema Ethereum, también entre los usuarios de habla hispana, lo que explica la sensibilidad del incidente. Un actor hostil con acceso a ese componente podría, en el peor de los escenarios, desviar fondos o datos de millones de usuarios; la compañía sostiene que nada de eso ocurrió.
«Sin apropiación de activos ni código malicioso», afirma Consensys
Matt Corva, consejero general de Consensys, explicó que los protocolos internos funcionaron: «muy poco después de su incorporación, descubrimos la amenaza, seguimos nuestros protocolos de seguridad, cortamos inmediatamente cualquier acceso y lanzamos una investigación exhaustiva».
«La investigación confirmó que no hubo apropiación indebida de activos ni de datos, que no se desplegó código malicioso y que no hubo impacto en la seguridad de los usuarios», aseguró Corva.
En paralelo, la empresa suspendió los lanzamientos de producto mientras durase la revisión interna, una medida de contención que afecta a su calendario pero que busca garantizar que ninguna versión publicada contenga cambios sin auditar.
Los trabajadores TI norcoreanos, una campaña documentada
El caso no es aislado. Las agencias estadounidenses y varios investigadores independientes llevan años documentando campañas de trabajadores informáticos norcoreanos que se emplean con identidades falsas en empresas cripto occidentales para generar divisas para el régimen de Pyongyang. El investigador on-chain ZachXBT ha rastreado públicamente decenas de estos casos, con desarrolladores infiltrados cobrando salarios en criptomonedas a través de identidades sintéticas.
Cabe recordar que el sector atribuye al grupo norcoreano Lazarus algunos de los mayores robos de la historia cripto. En este contexto, la infiltración laboral funciona como una vía de entrada más silenciosa que el hackeo directo: el atacante no rompe la puerta, consigue que le den las llaves.
Qué pueden hacer los usuarios de MetaMask
Por los momentos, ni Consensys ni los investigadores han señalado acción alguna que deban tomar los usuarios de la cartera: no hay indicios de fondos comprometidos ni de versiones alteradas. Aun así, el episodio es un recordatorio de las prácticas básicas de autocustodia: verificar que las extensiones se actualizan desde fuentes oficiales, desconfiar de aprobaciones de token inesperadas —un descuido que ya costó casi un millón de dólares a un trader en julio— y, para tesorerías o ahorros relevantes, considerar esquemas como las carteras multifirma.
Para quien quiera profundizar en los conceptos de custodia y firmas, el glosario de RigMineria recoge los términos clave, y la ficha de ether (ETH) permite seguir el mercado del activo nativo del ecosistema donde opera MetaMask.
Un sector en alerta por la seguridad de su cadena de suministro
El incidente de Consensys se suma a una cadena de episodios recientes que apuntan al mismo frente: la seguridad de la cadena de suministro de software. Como informó RigMineria, en julio también se produjo el secuestro de cuentas corporativas en X para promocionar un rug pull y Interpol destapó una cartera de 122 millones ligada a estafas románticas. La superficie de ataque del ecosistema ya no es solo el contrato inteligente: son las personas y los procesos.
Sin embargo, el desenlace de este caso dependerá de lo que arroje la investigación completa y de si otras empresas del sector detectan infiltraciones similares en sus plantillas. Si la campaña norcoreana mantiene el ritmo documentado por los investigadores, episodios como el de «Tyler Knapp» podrían repetirse en los próximos meses, y la contratación remota en el sector cripto tendría que endurecer sus filtros de verificación de identidad.
¿Tienes información para nuestro equipo?
Si conoces una noticia o tienes una filtración, escríbenos de forma confidencial.
