Wawasan Komunitas & Sentimen Pasar ##opencode

Dia tidur, lalu saat membuka mata pada pagi hari, tagihannya bertambah empat ratus dolar.

Dia tidak mengetik satu baris kode pun. Komputernya tidak dinyalakan. Empat ratus dolar itu berasal dari orang lain yang menggunakan akunnya saat dia tidur.

Larut malam tanggal 17 Oktober, perusahaan pembuat alat pemrograman sumber terbuka itu mulai mengirim email kepada orang-orang yang pernah menggunakannya. Judulnya singkat. Isinya meminta mereka segera bertindak. Disebutkan bahwa kunci dari penyedia layanan pihak ketiga mungkin telah bocor.

Email kedua datang dini hari. Disebutkan nama-nama penyedianya: OpenAI, Anthropic, dan Google.

Akun yang terdampak mencakup 1,4 persen dari akun panel daring mereka. Angkanya memang tidak besar. Namun, bagi orang-orang yang terdampak, semuanya jadi masalah.

Masalahnya ada di satu titik. Penyerang masuk ke sistem lama yang sedang dinonaktifkan. Jejak paling awal mengarah ke larut malam tanggal 16. Orang-orang ini baru menerima email pertama 22 jam kemudian. Dalam 22 jam, berapa banyak panggilan yang bisa dijalankan? Berapa banyak kuota yang bisa dihabiskan? Cukup waktu bagi pihak lain untuk menuntaskan semuanya sebelum kamu membuka mata.

Apa sumber masalahnya? Sebuah sudut yang dikira semua orang sudah ditutup. Kenapa bisa begitu? Karena sudut itu tidak ada dalam daftar siapa pun, jadi ketika terjadi masalah, tak seorang pun langsung teringat akan keberadaannya.

Banyak orang mengira kunci bocor karena berhasil ditebak atau dibobol dengan mencoba berbagai kombinasi. Bukan begitu. Kebanyakan kebocoran sama sekali tidak perlu diretas. Kuncinya cuma tersimpan di tempat yang sudah tak pernah diperiksa siapa pun, padahal pintunya masih terbuka. Kamu memindahkannya dari sistem utama, menandainya untuk dihentikan, lalu lupa bahwa sistem itu masih berjalan.

Perusahaan belum memberi penjelasan yang pasti soal siapa yang membiarkan sistem lama ini terbengkalai begitu lama tanpa diketahui.

Seorang pengembang mengatakan bahwa dia lebih dulu menerima peringatan kuota dari Anthropic, baru kemudian mendapat pemberitahuan dari penyedia alat tersebut. Urutannya terbalik. Pihak yang menagih lebih dulu menyadari masalah daripada pihak yang membayar. Akun Google Cloud seseorang dipakai hingga menimbulkan tagihan 200 euro, lalu proyeknya ditangguhkan karena penyalahgunaan. Ada juga yang bilang jatah 20 dolar untuk bulan itu habis.

Soal pengembalian uang, perusahaan hanya mengatakan bahwa mereka sedang berunding dengan ketiga pihak tersebut. Kedengarannya jelas bukan janji. Apakah data mereka dipakai untuk melatih model lain juga belum diketahui. Mereka menyebutnya serangan distilasi berskala besar. Apakah istilah itu tepat, kita harus menunggu hasil penyelidikan.

Bentuk kejadian seperti ini sebenarnya sudah akrab di dunia kripto.

Di dompetmu ada banyak izin yang masih aktif. Pada 2021, sebuah situs menawarkan izin tanpa batas. Waktu itu kamu menyetujuinya demi mendapat whitelist. Setelah mengeklik, kamu merasa gerakmu cepat, lalu keesokan harinya lupa apa nama situs itu. Namun, alamat kontraknya masih tersimpan di bawah alamat dompetmu, menunggu seseorang datang mengetuk. Saat itu kamu sama sekali tidak terpikir untuk mencabut izinnya.

Tim proyeknya sudah lama pergi. Izinnya masih aktif. Kamu tak ingat. Blockchain menyimpannya.

Ini sama saja dengan menyimpan kunci di backend yang sudah dinonaktifkan.

Tahun lalu, salah satu versi komponen koneksi web yang sangat umum digunakan diganti. Dalam beberapa jam, dompet sejumlah orang dikuras sampai kosong, bahkan sebelum mereka sempat melaporkannya. Tak ada yang meretasnya. Versinya hanya diganti. Kamu sama sekali tak akan menyadarinya. Saat kamu menandatangani transaksi, antarmukanya masih mengatakan hal yang sama seperti sebelumnya.

Sudah cukup lama aku memikirkan hal ini. Keamanan seharusnya tidak dinilai berdasarkan apakah sesuatu itu baru atau tidak. Perangkat baru diawasi setiap hari, sedangkan yang lama tak diperhatikan. Sesederhana itu. Sistem yang proses penghentiannya baru berjalan separuh justru paling berbahaya. Sistem itu sudah tidak ada dalam daftar pemeliharaan, tetapi juga belum benar-benar mati. Semua orang mengira sistem itu akan hilang dengan sendirinya.

Lalu apa yang harus dilakukan? Ini langkah konkretnya. Buka dompetmu, gulir daftar izin sampai ke halaman paling awal, lalu cabut izin yang tidak kamu kenali. Untuk bursa yang kamu daftarkan tiga tahun lalu dan kata sandinya pun sudah lupa, hapus saja semua kunci API-nya, terutama yang punya izin penarikan dana. Tulis frasa pemulihan dengan tangan; jangan memotretnya dan menyimpannya di galeri ponsel.

Tidak sampai sepuluh menit.

Sepuluh menit untuk menutup celah yang mungkin sudah lama kamu lupakan.

Sungguh sepadan.

$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #kripto

opencode

OPEN Bridge Bisa Membunuh Risiko Wrapper — Tapi Ada Syarat

Topik Sedang Tren