La Corée du Nord a infiltré MetaMask

« On ne force plus une serrure. On envoie un CV. »

Pendant un mois, un développeur payé par l'éditeur de MetaMask a poussé du code dans l'un des portefeuilles crypto les plus utilisés du monde. Il travaillait bien. Il livrait à l'heure. Il avait un nom, un GitHub, un contrat via un prestataire réputé. Une seule chose clochait : selon les documents internes obtenus par Drop Site News, ce nom n'était pas le sien, et l'homme derrière l'écran travaillait pour Pyongyang. Le maillon faible n'était pas le chiffrement. C'était le recrutement.

Consensys, 9 mars 2026. Un consultant rejoint l'équipe. Son identité rapportée par la presse : « Tyler Knapp », pseudo GitHub « imyugioh ». Il n'est pas parachuté d'un site d'annonces douteux. Il arrive par un canal propre, présenté par un prestataire de services tiers jugé fiable, dans le cadre d'une relation qui existait déjà. Il commence à contribuer. Du vrai code, versionné, tracé, mergé. Sur le cœur de la plateforme MetaMask. Y compris, selon Drop Site News, sur les briques qui relient les utilisateurs crypto aux fournisseurs de paiement en monnaie classique.

Comprenez bien ce que ça veut dire. MetaMask, ce n'est pas une application parmi d'autres. C'est la porte d'entrée de millions de gens dans l'écosystème Ethereum. C'est le trousseau de clés. Et pendant environ trente jours, quelqu'un qui n'aurait jamais dû s'en approcher tenait un stylo au dessus du plan de la serrure.

Avril 2026. Les contributions s'arrêtent net. Pas parce que le consultant part en vacances. Parce que Consensys a compris. La société révoque tous les accès système et code. Elle met en pause les sorties produit le temps d'y voir clair. Elle lance un audit complet du code source, ligne par ligne, à la recherche de portes dérobées. Verdict de l'audit, signé par le directeur juridique Matt Corva : aucun détournement d'actifs ni de données, aucun code malveillant déployé, aucun impact sur la sécurité des utilisateurs. La société ajoute que l'épisode prouve que ses procédures détectent une menace étatique complexe avant qu'elle n'atteigne le public.

C'est la version rassurante. Elle est peut être vraie. Mais elle esquive la vraie question. La question n'est pas « est ce qu'ils ont réparé la fuite ». La question est « comment un service secret est entré par la grande porte, avec un badge, un salaire et un accès en écriture ». La réponse tient en trois mots : ils ont postulé.

Parce que ce n'est pas un accident isolé. C'est une industrie. Depuis l'alerte conjointe des agences américaines de mai 2022, le schéma est documenté : des milliers d'informaticiens nord coréens, formés, placés à l'étranger, décrochent des emplois à distance dans des entreprises occidentales sous fausse identité. Le FBI, via son centre de plaintes IC3, a lancé plusieurs alertes. En décembre 2024, le ministère américain de la Justice a inculpé quatorze ressortissants nord coréens pour un seul de ces réseaux, qui aurait généré plus de 88 millions de dollars pour les programmes d'armement du régime. Mandiant, Palo Alto Networks, le FBI décrivent tous la même mécanique.

La mécanique est presque banale. Identités volées. Photos retouchées par intelligence artificielle. Échange de visage en direct pendant les entretiens vidéo. Fermes d'ordinateurs portables installées sur le sol américain pour faire croire à une connexion locale. Un salaire versé à un « développeur de Denver » qui vit à Pyongyang. Ce n'est plus du piratage. C'est du placement. Le régime n'attaque pas le pare feu. Il devient collègue.

Voilà pourquoi cette affaire compte plus que le montant volé, qui ici est nul. Le secteur crypto a passé dix ans à durcir la technique. Audits de smart contracts. Bug bounties. Multisignatures. Portefeuilles matériels. Et pendant ce temps, la faille est restée humaine, administrative, contractuelle. Elle passe par les ressources humaines. Elle passe par un prestataire « réputé ». Elle passe par la case entretien. On a blindé le coffre et laissé la porte de service ouverte au premier candidat souriant.

Sources. Drop Site News, enquête sur documents internes Consensys (Slack, historique GitHub) · déclarations de Matt Corva, directeur juridique de Consensys · Cryptobriefing, Crypto.news, CryptoSlate, BeInCrypto reprenant l'affaire · FBI / IC3, alertes sur les faux travailleurs IT nord coréens (2024 à 2026) · ministère américain de la Justice, inculpation de quatorze ressortissants (décembre 2024, réseau à plus de 88 M$) · alerte conjointe des agences américaines (mai 2022) · analyses Mandiant et Palo Alto Networks. Éléments rapportés et non confirmés indépendamment : l'identité « Tyler Knapp » / GitHub « imyugioh » et le rattachement précis à la Corée du Nord reposent sur les documents internes cités par Drop Site News. Dates : contributions du 9 mars à avril 2026, soit environ un mois d'accès.