Saya tidak lagi mengkloning repo kripto tanpa membaca konfigurasinya terlebih dahulu, dan peringatan SlowMist hari ini adalah alasan tepatnya.
Hari ini SlowMist menandai repo GitHub berbahaya—salah satunya bernama sol-live, yang menyamar sebagai alat latihan wawancara Solidity—yang menyembunyikan perintah di file .vscode/settings.json proyek. Begitu terpicu, kode tersembunyi itu bisa memantau clipboard, menjalankan perintah jarak jauh, mengunggah file, serta mengincar login browser, data Keychain macOS, dan data ekstensi dompet. Sasarannya pengguna macOS dan Linux, khususnya para developer, bukan trader biasa.
Begini pendapat saya: inilah bagian keamanan kripto yang kurang banyak dibahas. Kita terobsesi dengan frasa pemulihan dan tautan phishing, lalu dengan santai mengkloning repo orang asing dan membiarkan pengaturan ruang kerjanya berjalan di komputer kita. Repo berarti eksekusi kode, titik—terutama apa pun yang meminta kita menjalankan langkah penyiapan lewat terminal. Jika kamu membangun sesuatu di dunia kripto, file pengaturan itu patut dicurigai sama seperti permintaan untuk menghubungkan dompet.
Aturan saya sekarang: baca .vscode/settings.json sebelum memercayai repo, jangan pernah menjalankan penyiapannya di komputer yang menyimpan dompet sungguhan, dan sebisa mungkin pisahkan pekerjaan pengembangan dari aktivitas trading ke komputer berbeda. Kedok latihan wawancara inilah yang membuat serangan ini keji—sasarannya orang-orang yang ingin belajar, bukan orang-orang yang serakah.
Kamu benar-benar memeriksa file konfigurasi repo sebelum mengkloningnya, atau saya saja yang terlalu paranoid?
Hari ini SlowMist menandai repo GitHub berbahaya—salah satunya bernama sol-live, yang menyamar sebagai alat latihan wawancara Solidity—yang menyembunyikan perintah di file .vscode/settings.json proyek. Begitu terpicu, kode tersembunyi itu bisa memantau clipboard, menjalankan perintah jarak jauh, mengunggah file, serta mengincar login browser, data Keychain macOS, dan data ekstensi dompet. Sasarannya pengguna macOS dan Linux, khususnya para developer, bukan trader biasa.
Begini pendapat saya: inilah bagian keamanan kripto yang kurang banyak dibahas. Kita terobsesi dengan frasa pemulihan dan tautan phishing, lalu dengan santai mengkloning repo orang asing dan membiarkan pengaturan ruang kerjanya berjalan di komputer kita. Repo berarti eksekusi kode, titik—terutama apa pun yang meminta kita menjalankan langkah penyiapan lewat terminal. Jika kamu membangun sesuatu di dunia kripto, file pengaturan itu patut dicurigai sama seperti permintaan untuk menghubungkan dompet.
Aturan saya sekarang: baca .vscode/settings.json sebelum memercayai repo, jangan pernah menjalankan penyiapannya di komputer yang menyimpan dompet sungguhan, dan sebisa mungkin pisahkan pekerjaan pengembangan dari aktivitas trading ke komputer berbeda. Kedok latihan wawancara inilah yang membuat serangan ini keji—sasarannya orang-orang yang ingin belajar, bukan orang-orang yang serakah.
Kamu benar-benar memeriksa file konfigurasi repo sebelum mengkloningnya, atau saya saja yang terlalu paranoid?