Kunci privat dicuri selama 20 bulan, baru ketahuan setelah 8 dompet dikuras
⚡ 有大动静群里说
Sebuah ekstensi browser bernama Fearless Wallet mulai mengirim frasa pemulihan dan kunci privat pengguna ke pihak luar sejak Februari 2025, dan terus melakukannya hingga Oktober tahun ini. Baru pada 21 Oktober, Polkadot Community Foundation mengeluarkan peringatan keamanan. Sebanyak 8 pengguna telah melaporkan pencurian, dengan total 17.286 DOT yang dipindahkan—senilai sekitar 17.700 dolar AS dengan harga saat ini 💥
Modusnya memang bukan hal baru, tetapi tersembunyi dengan sangat rapi. Saat pengguna membuka kunci dompet, kode berbahaya di dalam ekstensi akan mengemas frasa pemulihan, kunci privat, dan file keystore, lalu mengirimkannya ke server eksternal melalui permintaan HTTP. Lebih parah lagi, ekstensi ini memiliki sakelar jarak jauh. Penyerang bisa menyalakan atau mematikannya kapan saja, sehingga pengguna biasa sama sekali tidak menyadari bahwa data mereka sedang dikumpulkan 🦖
Perusahaan keamanan SlowMist kemudian mengidentifikasi versi yang terdampak, yaitu 3.0.1 dan 3.0.3 hingga 3.0.5. Kode berbahaya itu sudah dihapus dari kode sumber pada Juni, tetapi sakelar jarak jauhnya baru dimatikan pada Oktober. Namun, data yang sudah dicuri tidak bisa dikembalikan ⚠️
Hal yang benar-benar membuat kasus ini makin serius adalah Referendum 1910, yang berlaku mulai 6 Juli. Polkadot memangkas masa unbonding bagi nominator dari maksimal 28 hari menjadi sekitar 2 hari. Dalam kondisi tercepat, aset bisa ditarik dalam 24 hingga 48 jam. Pengalaman staking memang jadi lebih baik, tetapi begitu kunci privat jatuh ke tangan orang lain, waktu bagi korban untuk menyadari adanya kejanggalan, mencari bantuan, dan mencegah aset dipindahkan juga menyusut dari 4 minggu menjadi hanya 2 hari 📉
Perlu ditegaskan: pihak resmi menyatakan bahwa saat ini tidak ada bukti bahwa pemendekan masa unbonding menjadi penyebab pencurian ini. Permintaan unbonding untuk beberapa akun sudah diajukan sebelum peningkatan pada Juli dan tetap diproses berdasarkan aturan lama. Namun, arah risikonya sudah jelas. Pada 30 Juni, PAPI Rescue telah memperingatkan bahwa memangkas masa 28 hari menjadi dua era akan membuat waktu untuk melakukan intervensi tidak cukup. Layanan pemulihan ini menyatakan telah berhasil mendapatkan kembali aset senilai lebih dari 250.000 dolar AS.
Menurut saya, ini bukan masalah Polkadot saja. Semua blockchain publik yang mempercepat penarikan dan mempermudah proses pencairan harus memperhitungkan hal ini. Likuiditas adalah keunggulan produk, sedangkan jendela waktu untuk penyelamatan adalah anggaran keamanan. Keduanya sedang dikurangi, sementara pengguna sering kali hanya melihat yang pertama.
Ada satu hal lagi yang sering dilakukan orang dengan keliru: mengganti kata sandi, memasang ulang ekstensi, atau mengimpor frasa pemulihan yang sama ke dompet baru. Semua itu tidak mengatasi kebocoran yang sudah terjadi. Jika kunci privat pernah dikirim keluar, satu-satunya solusi adalah membuat pasangan kunci baru dan memindahkan aset. Pihak resmi juga mengingatkan agar tidak memercayai tim penyelamatan yang menghubungi lebih dulu, apalagi memberikan kunci privat kepada siapa pun.
Berapa banyak ekstensi yang masih terpasang di ponsel dan browser Anda, padahal Anda sendiri tidak begitu memahaminya? Ceritakan di kolom komentar.
Ketuk foto profil untuk menonton siaran langsung.
Setiap hari, kami mengajak Anda mengikuti isu-isu keamanan kripto terkini. Bukan cuma melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
⚡ 有大动静群里说
Sebuah ekstensi browser bernama Fearless Wallet mulai mengirim frasa pemulihan dan kunci privat pengguna ke pihak luar sejak Februari 2025, dan terus melakukannya hingga Oktober tahun ini. Baru pada 21 Oktober, Polkadot Community Foundation mengeluarkan peringatan keamanan. Sebanyak 8 pengguna telah melaporkan pencurian, dengan total 17.286 DOT yang dipindahkan—senilai sekitar 17.700 dolar AS dengan harga saat ini 💥
Modusnya memang bukan hal baru, tetapi tersembunyi dengan sangat rapi. Saat pengguna membuka kunci dompet, kode berbahaya di dalam ekstensi akan mengemas frasa pemulihan, kunci privat, dan file keystore, lalu mengirimkannya ke server eksternal melalui permintaan HTTP. Lebih parah lagi, ekstensi ini memiliki sakelar jarak jauh. Penyerang bisa menyalakan atau mematikannya kapan saja, sehingga pengguna biasa sama sekali tidak menyadari bahwa data mereka sedang dikumpulkan 🦖
Perusahaan keamanan SlowMist kemudian mengidentifikasi versi yang terdampak, yaitu 3.0.1 dan 3.0.3 hingga 3.0.5. Kode berbahaya itu sudah dihapus dari kode sumber pada Juni, tetapi sakelar jarak jauhnya baru dimatikan pada Oktober. Namun, data yang sudah dicuri tidak bisa dikembalikan ⚠️
Hal yang benar-benar membuat kasus ini makin serius adalah Referendum 1910, yang berlaku mulai 6 Juli. Polkadot memangkas masa unbonding bagi nominator dari maksimal 28 hari menjadi sekitar 2 hari. Dalam kondisi tercepat, aset bisa ditarik dalam 24 hingga 48 jam. Pengalaman staking memang jadi lebih baik, tetapi begitu kunci privat jatuh ke tangan orang lain, waktu bagi korban untuk menyadari adanya kejanggalan, mencari bantuan, dan mencegah aset dipindahkan juga menyusut dari 4 minggu menjadi hanya 2 hari 📉
Perlu ditegaskan: pihak resmi menyatakan bahwa saat ini tidak ada bukti bahwa pemendekan masa unbonding menjadi penyebab pencurian ini. Permintaan unbonding untuk beberapa akun sudah diajukan sebelum peningkatan pada Juli dan tetap diproses berdasarkan aturan lama. Namun, arah risikonya sudah jelas. Pada 30 Juni, PAPI Rescue telah memperingatkan bahwa memangkas masa 28 hari menjadi dua era akan membuat waktu untuk melakukan intervensi tidak cukup. Layanan pemulihan ini menyatakan telah berhasil mendapatkan kembali aset senilai lebih dari 250.000 dolar AS.
Menurut saya, ini bukan masalah Polkadot saja. Semua blockchain publik yang mempercepat penarikan dan mempermudah proses pencairan harus memperhitungkan hal ini. Likuiditas adalah keunggulan produk, sedangkan jendela waktu untuk penyelamatan adalah anggaran keamanan. Keduanya sedang dikurangi, sementara pengguna sering kali hanya melihat yang pertama.
Ada satu hal lagi yang sering dilakukan orang dengan keliru: mengganti kata sandi, memasang ulang ekstensi, atau mengimpor frasa pemulihan yang sama ke dompet baru. Semua itu tidak mengatasi kebocoran yang sudah terjadi. Jika kunci privat pernah dikirim keluar, satu-satunya solusi adalah membuat pasangan kunci baru dan memindahkan aset. Pihak resmi juga mengingatkan agar tidak memercayai tim penyelamatan yang menghubungi lebih dulu, apalagi memberikan kunci privat kepada siapa pun.
Berapa banyak ekstensi yang masih terpasang di ponsel dan browser Anda, padahal Anda sendiri tidak begitu memahaminya? Ceritakan di kolom komentar.
Ketuk foto profil untuk menonton siaran langsung.
Setiap hari, kami mengajak Anda mengikuti isu-isu keamanan kripto terkini. Bukan cuma melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀