コンセンシス、北朝鮮関連の開発者が1カ月間システムにアクセス
同ブロックチェーン企業によれば、MetaMaskの請負業者は3月9日から4月まで第三者プロバイダー経由で業務に従事していた。ユーザーへの影響が確認されなかった一方で、リリース停止とベンダーのアクセス管理体制の精査につながった。
ファクトチェック
Drop Site Newsの主要報道は、Consensysの社内コミュニケーションを引用し、この主張の主要な要素をすべて裏付けている。すなわち、北朝鮮に関連するコンサルタントが第三者プロバイダーを通じて紹介され、3月9日にMetaMask関連システムへのアクセスを開始し、契約終了までおよそ1カ月継続したこと（2026年4月と整合的）、さらに同社の法務顧問がデータ、資産、悪意あるコードへの影響はなかったと認定したことである。CointelegraphとCryptoBriefingも同じ事実を独自に報じており、いずれもDrop Siteの報道を情報源としている。複数ソース間の整合性と、裏付けが取れた具体的な開始日である「3月9日」は、この主張を支える材料である。ただし、「Consensysが述べた」との表現は、公表された同社声明ではなく、報じられた社内コミュニケーションに基づくものである。
要約
コンセンシスは、第三者プロバイダーを通じて起用した請負業者が3月9日からMetaMaskのコード開発に関与し、同社が北朝鮮との関連を特定した後の4月にアクセスを遮断したと明らかにした。コンセンシスの法務責任者マット・コルバ氏は、脅威は迅速に特定され、アクセスを終了し、包括的な調査を開始するとともに、法執行当局に通報したと述べた。コンセンシスによれば、資産やデータの侵害、悪意あるコードの展開、ユーザーの安全性やセキュリティへの影響はいずれも確認されなかった。Drop Siteは、4月の社内警告を受けて調査期間中は全製品のリリースが停止され、従業員に対して当該コンサルタントと接触しないよう指示が出されたと報じた。今回の事案を受け、本人確認、最小権限の付与、独立したコードレビュー、懸念発生時の迅速なアクセス取り消しを含む、請負業者とリポジトリへのアクセス管理の厳格化に業界の関心が改めて集まっている。
用語解説
- 最小権限の付与: 利用者に対し、業務遂行に必要な最小限のシステム権限のみを与えるアクセス制御の考え方。
- リポジトリアクセス: ソフトウェアのバージョン管理システムに保存されたソースコードを閲覧または変更する権限。
- 悪意あるコード: システムを損傷したり、情報を盗んだり、不正な活動を可能にしたりする目的で意図的に設計されたソフトウェア。