MetaMask-koodin käyttö estetty toimittajan jälkeen, jolla on yhteyksiä Pohjois-Koreaan
Consensys kertoi, että MetaMaskin koodiin saatiin pääsy Pohjois-Koreaan yhdistetylle urakoitsijalle kolmannen osapuolen palveluntarjoajan kautta 9. maaliskuuta–huhtikuuhun, jolloin pääsy lopetettiin. Yrityksen tutkimuksessa ei havaittu vaarantuneita resursseja, varastettuja tai paljastuneita tietoja, haitallisen koodin käyttöönottoa eikä vaikutusta käyttäjien turvallisuuteen.
Huhtikuussa kerrotaan olleen sisäinen hälytys, joka pysäytti MetaMask-tuotteen julkaisutoiminnan ja kehotti henkilöstöä olemaan olematta tekemisissä konsultin kanssa arvioiden aikana. Consensysin yleisjuristi Matt Corva sanoi, että kolmannen osapuolen suhdetta pidettiin maineikkaana, ja yritys on sittemmin tiukentanut kolmansien osapuolten palvelukäytäntöjään vastaamaan työntekijätason standardeja. Se ilmoitti myös lainvalvontaviranomaisille.
Kryptokauppiaille tämä ei ole suora protokollahyökkäys eikä välitön tapahtuma, jossa varoja menetetään. Mutta se korostaa toimitusketju- ja kehittäjien pääsynhallinnan riskejä lompakkoinfrastruktuurissa: jopa tapaukset, joissa “turvaloukkausta ei löydetty”, voivat johtaa tiukempaan operatiiviseen tarkasteluun ja lyhyen aikavälin mielialan heilahteluun.
Neutral
Neutraali hinnan kannalta: tämä raportti kuvaa urakoitsijan tekemää pääsynhallinnan tapausta, jossa on mukana MetaMask-koodia, mutta Consensys toteaa, että tutkimuksessa ei löytynyt varastettuja varoja, paljastuneita arkaluonteisia tietoja, haitallisen koodin käyttöönottoa eikä vaikutusta käyttäjien turvallisuuteen. Siksi on epätodennäköistä, että se laukaisee suoran, protokollatason uudelleenhinnoittelun (repricing) millekään yksittäiselle omaisuuserälle.
Lyhyellä aikavälillä kauppiaat voivat nähdä lievästi riskinvälttävää (risk-off) tunnelmaa kohti lompakko-/kehittäjäinfrastruktuuria ja niihin liittyviä turvallisuusotsikoita, koska tarina korostaa kolmansien osapuolten pääsyreittejä ja tarvetta vahvemmalle henkilöllisyyden varmennukselle sekä vähimpien oikeuksien (least-privilege) hallintakeinoille. Kuitenkin ilman vahvistettuja taloudellisia menetyksiä tai aktiivista hyväksikäyttöä (exploit) markkinavaikutuksen pitäisi pysyä rajallisena.
Pidemmällä aikavälillä tiukempi valvonta ohjelmistojen toimitusketjuissa ja urakoitsijoiden käyttöönotossa (onboarding) voi vaikuttaa siihen, miten kehittäjät ja tiimit jäsentävät pääsyn ja auditoinnit koko ekosysteemissä. Tämä voi parantaa toimintavarmuutta, mutta se on enemmän operatiivisen hallinnan (governance) teema kuin välitön katalyytti tokenin hintaliikkeille.