Serangan Rantai Pasok: Paket Berbahaya dan Pustaka Dompet yang Dibobol

Serangan rantai pasok kripto terjadi ketika penjahat membobol perangkat lunak yang menjadi sandaran dompet, aplikasi, atau situs web, seperti paket sumber terbuka, ekstensi browser, atau server pembaruan, sehingga kode berbahaya sampai ke pengguna melalui saluran tepercaya. Kode itu biasanya menukar alamat tujuan, menyuntikkan wallet drainer ke situs web, atau mencuri frasa pemulihan, dan korban sering kali tidak melakukan kesalahan apa pun selain menggunakan produk yang sudah mereka percayai.

Serangan ini penting bagi semua orang di dunia kripto, bukan hanya pengembang. Dompet dan aplikasi terdesentralisasi modern dibangun dari ratusan komponen pihak ketiga, dan satu komponen yang dibobol dapat memengaruhi banyak produk sekaligus. Panduan ini menjelaskan cara kerja serangan tersebut, apa yang perlu diwaspadai, dan cara mengurangi risiko Anda sebagai pengguna atau pembangun.

Cara Kerja Serangan Rantai Pasok

“Rantai pasok” sebuah aplikasi kripto adalah segala sesuatu yang menyusunnya: pustaka kode, alat build, penyedia hosting, jaringan pengiriman konten, dan server pembaruan. Serangan biasanya mengikuti langkah-langkah berikut:

1. 1Mendapatkan akses. Penyerang melakukan phishing terhadap pengelola pustaka populer, membeli paket yang ditinggalkan, menebak kata sandi yang lemah, atau mengeksploitasi server build.
2. 2Menyisipkan kode berbahaya. Penyerang menerbitkan versi baru yang berisi kode tersembunyi, sering kali disamarkan dan dirancang agar aktif hanya dalam kondisi tertentu, misalnya saat ada dompet kripto.
3. 3Menyebar melalui pembaruan. Aplikasi yang otomatis menarik versi terbaru pustaka akan menyertakan kode berbahaya dalam build berikutnya atau, untuk situs web, segera setelah skrip dimuat.
4. 4Mencuri. Kode dapat mengganti alamat yang disalin ke clipboard, menampilkan permintaan transaksi palsu, meminta frasa pemulihan, atau menyuntikkan drainer ke front end aplikasi terdesentralisasi.
5. 5Bersembunyi. Penyerang sering menghapus kode dengan cepat setelah digunakan, sehingga penyelidikan menjadi lebih sulit.

Ada insiden nyata yang terdokumentasi dengan pola ini. Pada 2018, sebuah dependensi berbahaya yang ditambahkan ke paket JavaScript populer dirancang untuk mencuri dari pengguna aplikasi dompet bitcoin tertentu. Pada Desember 2023, versi pustaka Connect Kit milik Ledger yang dibobol sempat membuat beberapa aplikasi terdesentralisasi menampilkan wallet drainer kepada penggunanya. Kedua kasus menunjukkan bahwa titik lemahnya adalah kode bersama, bukan penggunanya. Untuk pembahasan lebih dalam, lihat Risiko Alamat Vanity dan Alamat yang Mirip.

Titik Masuk yang Umum

Typosquatting, yaitu mengunggah paket dengan nama yang sangat mirip dengan paket populer, sangat umum terjadi. Pengembang yang salah mengetik nama paket bisa memasang malware tanpa menyadarinya.

Contoh Hipotetis

Ini adalah contoh gabungan yang bersifat ilustratif, bukan kasus nyata. Bayangkan sebuah bursa terdesentralisasi kecil yang memuat pustaka koneksi dompet populer dari registri paket publik. Suatu pagi, pengelola pustaka itu terkena phishing dan penyerang menerbitkan versi baru. Situs web bursa memuat versi terbaru secara otomatis.

Selama beberapa jam, setiap pengguna yang menghubungkan dompet melihat sesuatu yang tampak seperti permintaan swap biasa. Kenyataannya, itu adalah permintaan untuk menyetujui token mereka ke kontrak penyerang. Pengguna yang membaca layar persetujuan dompetnya dengan cermat melihat kontrak yang tidak dikenal dan berhenti. Pengguna yang asal klik kehilangan token mereka. Tim bursa menemukan masalah ini ketika pengguna melaporkan kerugian dan menerbitkan peringatan, tetapi saat itu kodenya sudah dihapus.

Tanda Peringatan bagi Pengguna

• Aplikasi yang sudah dikenal tiba-tiba meminta frasa pemulihan atau langkah “validasi dompet” yang sebelumnya tidak pernah diminta.
• Tindakan rutin memunculkan permintaan dompet yang tidak biasa, seperti persetujuan tanpa batas atau tanda tangan untuk kontrak yang tidak dikenal.
• Alamat yang ditampilkan di layar dompet hardware Anda tidak cocok dengan alamat yang Anda maksud.
• Ekstensi browser diperbarui dan meminta izin baru, terutama untuk membaca dan mengubah data di semua situs web.
• Sebuah proyek atau peneliti keamanan memposting peringatan mendesak agar tidak menggunakan suatu situs atau aplikasi.

Banyak dari tanda ini tumpang tindih dengan malware clipboard dan aplikasi dompet palsu, yang menggunakan teknik serupa. Lihat juga: Malware Pembaruan Browser Palsu dan Captcha yang Menargetkan Pengguna Kripto.

Cara Melindungi Diri

Sebagai Pengguna

1. 1Gunakan dompet hardware dan baca alamat, jumlah, serta kontrak di layarnya sebelum mengonfirmasi.
2. 2Batasi ekstensi seminimal mungkin. Hapus yang tidak Anda gunakan, dan berhati-hatilah saat ekstensi berganti pemilik atau meminta izin baru.
3. 3Pisahkan dana. Simpan aset jangka panjang di dompet yang jarang terhubung ke situs web, dan gunakan dompet lain untuk DeFi sehari-hari.
4. 4Berhenti sejenak setelah peringatan keamanan. Hindari menggunakan aplikasi sampai aplikasi tersebut mengonfirmasi bahwa masalahnya sudah diperbaiki.
5. 5Cabut persetujuan yang tidak diperlukan secara berkala.

Sebagai Pengembang atau Proyek

• Kunci versi dependensi dan gunakan lockfile; tinjau perubahan sebelum meningkatkan versi.
• Periksa nama paket dengan cermat dan utamakan pustaka yang terpelihara dengan baik.
• Wajibkan autentikasi multifaktor untuk akun registri paket dan hosting kode.
• Gunakan rilis bertanda tangan dan, bila memungkinkan, build yang dapat direproduksi agar pengguna dapat memverifikasi berkas biner.
• Gunakan content security policy dan subresource integrity untuk skrip pihak ketiga.

Apa yang Harus Dilakukan Jika Anda Terdampak

1. 1Berhenti menggunakan aplikasi atau ekstensi yang terdampak dan putuskan sambungan semua dompet.
2. 2Periksa riwayat transaksi Anda untuk persetujuan atau transfer selama periode terdampak.
3. 3Cabut persetujuan yang mencurigakan dan pindahkan dana yang tersisa ke dompet baru dengan frasa pemulihan baru jika frasa pemulihan Anda mungkin telah terekspos.
4. 4Kumpulkan hash transaksi dan alamat, lalu laporkan insiden melalui saluran resmi proyek dan formulir laporan penipuan kami.

Ikuti daftar periksa lengkap di apa yang harus segera dilakukan jika dompet Anda dibobol.

Kesimpulan

Serangan rantai pasok mengubah perangkat lunak tepercaya menjadi saluran pencurian, jadi Anda tidak bisa hanya mengandalkan sikap menghindari tautan mencurigakan. Jadikan layar dompet hardware dan permintaan dompet sebagai pemeriksaan terakhir, jaga agar jejak perangkat lunak Anda tetap kecil, dan tanggapi peringatan keamanan resmi dengan cepat. Pembangun memikul sebagian besar tanggung jawab: kunci, tinjau, dan tandatangani semua yang Anda rilis.