Sebuah ekstensi dompet diam-diam mengirimkan private key ke pihak luar sejak Februari 2025, dan baru ketahuan hampir 20 bulan kemudian.
Yang terkena adalah ekstensi browser Fearless Wallet, dompet pihak ketiga untuk ekosistem $DOT dan Kusama yang dikelola tim independen. Halaman di Chrome Web Store mencantumkan 6.000 pengguna.
Tadi malam, lewat pukul sepuluh, pihak Polkadot mengeluarkan peringatan keamanan. Setelah ditelusuri tim teknis, kode berbahaya disisipkan melalui perubahan kode pada 19 Februari 2025 yang berkedok sebagai bagian dari “ekosistem TON”. Setelah itu, pada versi 3.0.1, 3.0.3, 3.0.4, dan 3.0.5, private key pengguna bisa dikirim ke server penyerang setiap kali mereka memasukkan kata sandi untuk membuka dompet. Kode ini kadang aktif, kadang tidak, hingga 10 Oktober tahun ini.
Sejauh ini, ada 8 korban yang melapor. Total DOT yang dicuri mencapai 17.286, atau sekitar 19.000 dolar AS dengan harga saat ini yang berkisar 1,11 dolar. Jumlahnya memang tidak besar. Namun, kode itu diam-diam bersembunyi selama satu setengah tahun. Tak ada yang tahu berapa banyak orang yang membuka dompet mereka selama itu. Pemeriksaan menunjukkan bahwa versi selulernya tidak memiliki kode ini. Namun, jika frasa pemulihan yang sama pernah diimpor ke ekstensi tersebut, dompet tetap dianggap terekspos.
Solusi yang diberikan pihak resmi cukup jelas: gunakan dompet lain untuk membuat kunci baru, lalu pindahkan semua aset ke sana. Mengganti kata sandi saja atau sekadar beralih ke aplikasi dompet lain tidak akan membantu—private key-nya sudah telanjur dikirim.
Inilah yang paling bikin merinding. Para korban tidak mengeklik tautan phishing atau sembarangan menyetujui otorisasi. Mereka hanya membuka ekstensi seperti biasa dan memasukkan kata sandi.
Yang terkena adalah ekstensi browser Fearless Wallet, dompet pihak ketiga untuk ekosistem $DOT dan Kusama yang dikelola tim independen. Halaman di Chrome Web Store mencantumkan 6.000 pengguna.
Tadi malam, lewat pukul sepuluh, pihak Polkadot mengeluarkan peringatan keamanan. Setelah ditelusuri tim teknis, kode berbahaya disisipkan melalui perubahan kode pada 19 Februari 2025 yang berkedok sebagai bagian dari “ekosistem TON”. Setelah itu, pada versi 3.0.1, 3.0.3, 3.0.4, dan 3.0.5, private key pengguna bisa dikirim ke server penyerang setiap kali mereka memasukkan kata sandi untuk membuka dompet. Kode ini kadang aktif, kadang tidak, hingga 10 Oktober tahun ini.
Sejauh ini, ada 8 korban yang melapor. Total DOT yang dicuri mencapai 17.286, atau sekitar 19.000 dolar AS dengan harga saat ini yang berkisar 1,11 dolar. Jumlahnya memang tidak besar. Namun, kode itu diam-diam bersembunyi selama satu setengah tahun. Tak ada yang tahu berapa banyak orang yang membuka dompet mereka selama itu. Pemeriksaan menunjukkan bahwa versi selulernya tidak memiliki kode ini. Namun, jika frasa pemulihan yang sama pernah diimpor ke ekstensi tersebut, dompet tetap dianggap terekspos.
Solusi yang diberikan pihak resmi cukup jelas: gunakan dompet lain untuk membuat kunci baru, lalu pindahkan semua aset ke sana. Mengganti kata sandi saja atau sekadar beralih ke aplikasi dompet lain tidak akan membantu—private key-nya sudah telanjur dikirim.
Inilah yang paling bikin merinding. Para korban tidak mengeklik tautan phishing atau sembarangan menyetujui otorisasi. Mereka hanya membuka ekstensi seperti biasa dan memasukkan kata sandi.