1022

Kunci pribadi bocor selama 20 bulan melalui ekstensi Fearless Wallet: 8 pengguna kehilangan 17.286 $DOT , yayasan meminta pemindahan dana

Kesimpulan: Ini bukan celah keamanan biasa, melainkan kode berbahaya yang tersembunyi dalam kode sumber terbuka selama hampir 20 bulan. Bentuk dompet panas browser yang paling berbahaya justru yang tampak terus berfungsi normal.

Fakta ini bersumber dari pengumuman keamanan yang diterbitkan oleh Yayasan Komunitas Polkadot pada 21 Oktober (dilaporkan pada hari yang sama oleh Cryptopolitan, Crypto Briefing, dan CoinMarketCap):

1. Kode berbahaya tersebut disisipkan ke kode sumber publik ekstensi Fearless Wallet pada 19 Februari 2025 melalui GitHub PR #1022 (pembaruan besar bernama "TON ecosystem"), lalu aktif secara berkala hingga 10 Oktober 2026—rentang waktu sekitar 571 hari. Empat versi ekstensi browser yang terdampak adalah 3.0.1, 3.0.3, 3.0.4, dan 3.0.5.

2. Pemicu aktivasi hanyalah tindakan pengguna membuka kunci dompet seperti biasa: ekstensi mengumpulkan frasa pemulihan atau file cadangan beserta kata sandi dompet, "mengenkripsinya" dengan kata sandi kosong (yang bisa dibalik oleh siapa saja), lalu mengirimkannya ke server eksternal. Pada hari pengumuman dirilis, 21 Oktober, versi 3.0.5 masih tersedia di Chrome Web Store dengan sekitar 6.000 pengguna; versi Firefox dipastikan memiliki kode yang sama, sedangkan versi Android/iOS yang telah ditinjau tidak memuat kode tersebut.

3. Kerugian yang telah dikonfirmasi: 8 pengguna melaporkan transfer tanpa izin yang terkait dengan insiden ini, dengan total 17.286 DOT. Menurut harga yang dikutip CoinMarketCap saat laporan diterbitkan, nilainya sekitar 20.500 dolar AS. Mengingat kunci pribadi yang bocor bisa saja dibiarkan begitu saja hingga saatnya dana dikuras, jumlah akun yang sebenarnya terekspos mungkin jauh melebihi 8 orang yang telah melapor.

Penilaian saya:
Pertama, mengganti kata sandi atau memasang ulang ekstensi tidak akan menyelamatkan kunci pribadi yang sudah bocor—seperti yang dinyatakan langsung oleh yayasan, "setelah kunci pribadi bocor, kunci tersebut tidak lagi aman untuk digunakan di mana pun." Satu-satunya solusi: gunakan dompet baru, buat frasa pemulihan baru, lalu pindahkan dana.
Kedua, yayasan secara khusus menegaskan bahwa Fearless "tidak pernah menjadi dompet resmi". Setiap pembaruan otomatis pada ekstensi pihak ketiga berarti kepercayaan kembali diserahkan kepada pihak lain, sering kali tanpa disadari pengguna.
Ketiga, kode berbahaya dalam kode sumber telah dihapus pada 25 Juni 2026, tetapi masih ada di versi lama 3.0.3–3.0.5 yang sudah terpasang. Tombol kendali jarak jauh dapat mengaktifkannya kembali kapan saja. Bahayanya bukan di repositori kode, melainkan di daftar ekstensi browser Anda.

Bagi pengguna yang menyimpan koin untuk jangka panjang tanpa memindahkannya, insiden ini patut diwaspadai: kebocoran kunci pribadi tidak memiliki "jendela pemulihan", yang ada hanyalah "lamanya paparan". Dompet ekstensi browser cocok untuk menyimpan uang jajan, bukan untuk dijadikan brankas.

Ini hanya pendapat pribadi dan bukan saran investasi.

#Polkadot #钱包安全 $DOT