Pengguna Solana mengalami serangan paket NPM jahat, Kunci Pribadi dicuri menyebabkan kerugian aset

Pada awal Juli 2025, sebuah insiden serangan jahat terhadap pengguna Solana terungkap. Penyerang berhasil mencuri kunci pribadi dompet pengguna dengan mempublikasikan proyek sumber terbuka yang berisi paket NPM berbahaya di GitHub, yang mengakibatkan pencurian aset kripto.

Penyebab kejadian ini adalah seorang pengguna yang menemukan asetnya dicuri setelah menggunakan proyek GitHub bernama "solana-pumpfun-bot". Tim keamanan segera melakukan penyelidikan dan menemukan bahwa proyek tersebut memiliki beberapa kejanggalan:

1. Catatan pembaruan proyek tidak normal, semua pengiriman kode terkonsentrasi dalam waktu singkat.
2. Proyek bergantung pada paket pihak ketiga yang mencurigakan bernama "crypto-layout-utils".
3. Paket mencurigakan ini telah dihapus oleh resmi NPM, dan nomor versinya tidak ada dalam catatan resmi.

Analisis lebih lanjut menunjukkan bahwa penyerang mengubah file package-lock.json, mengarahkan tautan unduhan paket yang mencurigakan ke arsip terkompresi di repositori GitHub. Arsip terkompresi ini berisi kode berbahaya yang sangat terobfuscate, dengan fungsi utama untuk memindai file sensitif di komputer pengguna, mencari informasi terkait kunci pribadi dompet, dan mengunggahnya ke server yang dikendalikan oleh penyerang.

Penyerang juga menggunakan serangkaian cara untuk meningkatkan kredibilitas proyek tersebut:

1. Mengelola beberapa akun GitHub untuk Fork dan Star proyek, secara artifisial meningkatkan popularitas proyek.
2. Menggunakan beberapa paket jahat yang serupa, seperti "bs58-encrypt-utils".
3. Setelah paket mencurigakan dihapus dari NPM resmi, gunakan cara mengganti tautan unduhan untuk terus menyebarkan.

Serangan jenis ini menggabungkan rekayasa sosial dan teknik, memiliki daya tipu yang sangat kuat dan berbahaya. Untuk mencegah serangan serupa, disarankan kepada pengembang dan pengguna:

1. Waspadai proyek GitHub yang tidak jelas asalnya, terutama yang melibatkan dompet atau Kunci Pribadi.
2. Menjalankan dan men-debug kode yang tidak dikenal di lingkungan yang independen dan tanpa data sensitif.
3. Lakukan pemeriksaan berkala terhadap ketergantungan proyek, pastikan menggunakan versi yang diakui secara resmi.
4. Tingkatkan kesadaran keamanan, jangan mudah percaya pada proyek dengan jumlah Star dan Fork yang tinggi.

Peristiwa ini kembali mengingatkan kita bahwa kesadaran keamanan individu dan praktik keamanan dasar sangat penting di dunia sumber terbuka yang terdesentralisasi. Penyerang terus memperbarui metode mereka, dan pengguna juga perlu mengikuti perkembangan zaman, tetap waspada untuk memastikan keamanan aset.