Berita peretasan paling ramai di dunia kripto kemarin sama sekali tidak ada hubungannya dengan bursa. Yang dibobol adalah Railway, platform cloud untuk developer menerapkan aplikasi, yang mengklaim digunakan oleh 2 juta developer.
Pagi tanggal 21 Oktober, Railway mendapati ada kejanggalan pada sistem yang menyimpan variabel lingkungan pengguna, lalu segera menghentikan proses build dan deployment di seluruh platform. Apa itu variabel lingkungan? Sederhananya, konfigurasi rahasia yang dibutuhkan aplikasi untuk berjalan: API key, kata sandi database, kredensial repositori image, dan banyak orang yang demi praktis langsung menyimpan private key di sana. Pernyataan resmi mereka sangat berhati-hati: pihak ketiga yang tidak berwenang mungkin telah mengakses variabel lingkungan yang terenkripsi, dan sebagian di antaranya berhasil memperoleh isinya setelah didekripsi. Silakan pahami sendiri maksud tersiratnya.
Kasus ini benar-benar terungkap setelah peneliti keamanan Taylor Monahan turun tangan. Ia melacak alamat peretas 0xd9773325282874d18cb83f1fe50f14c39750b2ee. Transaksi pencurian kripto pertama terjadi pada 21 Oktober pukul 19:36 UTC. Setelah itu, lebih dari 500 transaksi menyapu lebih dari 200 alamat di 19 jaringan EVM. Modusnya menggunakan skrip sweeper yang sudah tersedia, dengan kerugian diperkirakan sebesar 371 ribu dolar AS. Linimasa yang ia bagikan cukup menarik: platform sudah menghentikan proses build pada pagi hari, tetapi transaksi pencurian baru muncul malam harinya. Soal bungkam di antara kedua waktu itu, ia langsung menyebutnya sebagai mimpi buruk para pengacara. Perlu diperjelas dulu celah datanya: angka 371 ribu dolar AS adalah perkiraan on-chain pribadinya, dan Railway belum mengonfirmasinya secara independen.
Apa hubungannya dengan kita, investor ritel? Pertama, kripto bisa hilang bukan hanya karena kerentanan smart contract atau karena kamu mengeklik tautan phishing. Masalah juga bisa terjadi di tempat yang bahkan tidak kamu gunakan secara langsung. Banyak orang menjalankan bot trading atau pemantauan node di platform cloud, sementara private key dan API key bursa tersimpan begitu saja di variabel lingkungan. Jika platformnya dibobol, dompetmu sama saja ikut dibobol. Dan kalau API key bursa dicuri, pelaku bisa langsung menarik kripto. Apa berarti aman kalau tidak menjalankan bot? Belum tentu. API key bursa yang kamu izinkan untuk digunakan oleh aplikasi copy trading, alat kuantitatif, atau aplikasi pengelola aset pihak ketiga juga tersimpan di platform mereka. Prinsipnya sama saja. Kedua, platform cloud bukan brankas. Begitu private key disimpan di cloud, itu menjadi private key milik platform; kamu hanya bisa berharap tim operasional platform tidak melakukan kesalahan.
Kesimpulan pribadi saya sederhana: sebisa mungkin jalankan bot di komputer lokal atau server yang kamu kelola sendiri. Kalau memang harus menggunakan cloud, nonaktifkan izin penarikan pada API key bursa dan sisakan izin trading saja. Railway juga menyampaikan satu kalimat yang mengundang tanda tanya: insiden ini mungkin merupakan bagian dari serangkaian serangan yang menargetkan penyedia layanan inferensi AI. Gelombang popularitas AI ini bahkan menarik perhatian para peretas.
Pernahkah kamu mengizinkan alat pihak ketiga menggunakan API bursa milikmu? Jujur saja di kolom komentar.
#Railway #被黑事件 #私钥安全 #交易机器人 #web3安全
—— Xiao Kai, investor kripto kecil di web3
Penafian: Ini adalah pendapat pribadi dan bukan saran investasi.
Pagi tanggal 21 Oktober, Railway mendapati ada kejanggalan pada sistem yang menyimpan variabel lingkungan pengguna, lalu segera menghentikan proses build dan deployment di seluruh platform. Apa itu variabel lingkungan? Sederhananya, konfigurasi rahasia yang dibutuhkan aplikasi untuk berjalan: API key, kata sandi database, kredensial repositori image, dan banyak orang yang demi praktis langsung menyimpan private key di sana. Pernyataan resmi mereka sangat berhati-hati: pihak ketiga yang tidak berwenang mungkin telah mengakses variabel lingkungan yang terenkripsi, dan sebagian di antaranya berhasil memperoleh isinya setelah didekripsi. Silakan pahami sendiri maksud tersiratnya.
Kasus ini benar-benar terungkap setelah peneliti keamanan Taylor Monahan turun tangan. Ia melacak alamat peretas 0xd9773325282874d18cb83f1fe50f14c39750b2ee. Transaksi pencurian kripto pertama terjadi pada 21 Oktober pukul 19:36 UTC. Setelah itu, lebih dari 500 transaksi menyapu lebih dari 200 alamat di 19 jaringan EVM. Modusnya menggunakan skrip sweeper yang sudah tersedia, dengan kerugian diperkirakan sebesar 371 ribu dolar AS. Linimasa yang ia bagikan cukup menarik: platform sudah menghentikan proses build pada pagi hari, tetapi transaksi pencurian baru muncul malam harinya. Soal bungkam di antara kedua waktu itu, ia langsung menyebutnya sebagai mimpi buruk para pengacara. Perlu diperjelas dulu celah datanya: angka 371 ribu dolar AS adalah perkiraan on-chain pribadinya, dan Railway belum mengonfirmasinya secara independen.
Apa hubungannya dengan kita, investor ritel? Pertama, kripto bisa hilang bukan hanya karena kerentanan smart contract atau karena kamu mengeklik tautan phishing. Masalah juga bisa terjadi di tempat yang bahkan tidak kamu gunakan secara langsung. Banyak orang menjalankan bot trading atau pemantauan node di platform cloud, sementara private key dan API key bursa tersimpan begitu saja di variabel lingkungan. Jika platformnya dibobol, dompetmu sama saja ikut dibobol. Dan kalau API key bursa dicuri, pelaku bisa langsung menarik kripto. Apa berarti aman kalau tidak menjalankan bot? Belum tentu. API key bursa yang kamu izinkan untuk digunakan oleh aplikasi copy trading, alat kuantitatif, atau aplikasi pengelola aset pihak ketiga juga tersimpan di platform mereka. Prinsipnya sama saja. Kedua, platform cloud bukan brankas. Begitu private key disimpan di cloud, itu menjadi private key milik platform; kamu hanya bisa berharap tim operasional platform tidak melakukan kesalahan.
Kesimpulan pribadi saya sederhana: sebisa mungkin jalankan bot di komputer lokal atau server yang kamu kelola sendiri. Kalau memang harus menggunakan cloud, nonaktifkan izin penarikan pada API key bursa dan sisakan izin trading saja. Railway juga menyampaikan satu kalimat yang mengundang tanda tanya: insiden ini mungkin merupakan bagian dari serangkaian serangan yang menargetkan penyedia layanan inferensi AI. Gelombang popularitas AI ini bahkan menarik perhatian para peretas.
Pernahkah kamu mengizinkan alat pihak ketiga menggunakan API bursa milikmu? Jujur saja di kolom komentar.
#Railway #被黑事件 #私钥安全 #交易机器人 #web3安全
—— Xiao Kai, investor kripto kecil di web3
Penafian: Ini adalah pendapat pribadi dan bukan saran investasi.