Malam itu, satu per satu kututup tab browser, hanya menyisakan buku catatan kosong. Laporan publik menyebutkan: pada 29 Oktober, situs internasional Polymarket, platform pasar prediksi, mengalami anomali—skrip dari DebugBear, layanan pemantauan performa pihak ketiga, telah diganti dengan kode berbahaya. Selama sekitar 52 menit, penyerang memanfaatkan sesi pengguna yang sudah masuk dan kemampuan transaksi bawaan halaman untuk mengalihkan posisi dan dana. Angka yang banyak diberitakan sekitar 2,7 juta dolar AS, dengan ratusan dompet terdampak; platform kemudian menghentikan sementara perdagangan, menghapus skrip tersebut, dan menyatakan akan memberi kompensasi kepada pengguna yang terdampak. Angka-angka itu mungkin direvisi seiring penyelidikan. Aku hanya mencatat kronologi yang dapat diverifikasi: mengembalikan “rantai pasokan front-end” dari sekadar judul menjadi tindakan nyata dalam kehidupan sehari-hari.

Saya bukan peneliti keamanan. Siang hari saya menyunting naskah, dan sesekali pada malam hari melakukan penukaran kecil serta mengatur transaksi lintas negara. Yang benar-benar membuat saya terdiam bukanlah «berapa banyak yang hilang lagi», melainkan alurnya—kunci privat belum tentu bocor, perangkat keras belum tentu dicuri, bahkan pengguna mungkin tidak mengeklik tautan asing; kode berbahaya berjalan dalam sesi yang Anda kira berada di «halaman resmi», sementara transaksi tampak seperti pesanan biasa. Laporan penelusuran yang dipublikasikan menjelaskannya dengan gamblang: skrip membaca informasi lokal terkait login, lalu menggunakan kemampuan pemesanan yang sudah tersedia di halaman untuk mengirimkan transaksi. Bagi orang kebanyakan, ini lebih mengusik daripada «kontrak diretas»: rantai kepercayaan terputus pada skrip pihak ketiga.

Saat teh sudah cukup dingin untuk diminum, saya menulis beberapa langkah kebersihan digital sederhana. Pertama, jangan biarkan sesi aktif bernilai besar terus terbuka di browser. Pisahkan penggunaan rutin dari penyimpanan jangka panjang; di sisi yang aktif, simpan hanya dana yang mungkin dibutuhkan hari itu. Kedua, urusan «pengembalian dana, klaim, kompensasi» hanya melalui kanal resmi yang telah diverifikasi oleh pihak proyek. Jangan mengeklik pesan pribadi dari orang asing atau situs cermin—upaya phishing kedua sering kali lebih ramai. Ketiga, periksa izin akses dan aplikasi yang terhubung secara berkala, lalu cabut izin lama yang sudah tidak diperlukan; periksa kembali domain dan ekstensi. Keempat, aktifkan autentikasi dua faktor jika tersedia, dan perlakukan perangkat serta email sebagai aset yang perlu dijaga. Ini bukan obat mujarab, hanya cara untuk mengurai kepercayaan yang tak terlihat menjadi beberapa langkah pemeriksaan.

Justru karena alurnya mudah terpecah-pecah, saya lebih peduli apakah semuanya bisa dicocokkan dalam pencatatan. Belakangan ini, saya mencoba menggunakan BiyaPay, platform global satu atap untuk pengelolaan aset, untuk melihat penjelasan terkait penukaran yang sering dilakukan dan transaksi lintas negara: saya terbiasa menggunakan USDT sebagai pintu masuk dana, lalu memeriksa penukaran berbagai mata uang dan rincian biaya dalam satu kerangka yang sama. Platform ini tidak mengklaim dapat menangkal serangan rantai pasokan, dan juga bukan jaminan keamanan dari pihak mana pun—yang berguna bagi saya adalah berkurangnya satu lapis perpindahan: catatan penukaran, batas biaya, dan tujuan dana sebisa mungkin tercatat dalam riwayat transaksi yang dapat diperiksa kembali, sehingga saat mencocokkan catatan di akhir pekan, saya tak perlu mencari-cari di antara tangkapan layar yang tak saling terkait. Alat memberi akses yang jelas dan alur yang dapat diverifikasi; kebiasaan menjaga keamanan tetap tanggung jawab pribadi.

Ada yang bertanya mengapa saya tidak menulis «benar-benar aman». Karena insiden yang dipublikasikan sudah mengingatkan kita: keamanan adalah proses, bukan slogan. Kali ini, masalahnya terjadi karena skrip pihak ketiga diganti. Yang bisa dilakukan pengguna adalah memperpendek paparan sesi aktif, memverifikasi kanal resmi, serta memisahkan aset jangka panjang dari aktivitas sehari-hari. Penyelidikan dan kompensasi dari pihak platform adalah bagian lain dari informasi publik; di bagian saya, saya hanya menulis tentang diri sendiri—bereskan kebiasaan menjaga keamanan terlebih dahulu, baru bicara soal kemudahan.

Akhir Oktober hingga awal November tidak kekurangan judul yang menggugah. Namun, hal yang lebih layak diingat adalah: di «halaman yang tampak normal», lima puluh dua menit cukup untuk mengubah akhir pekan banyak orang. Ke depannya, rantai pasokan sisi frontend, pengelolaan izin akses, dan verifikasi kanal resmi akan menjadi topik rutin saya. Menjelaskan alurnya dengan terang lebih cocok bagi orang kebanyakan pada Senin malam daripada menumpahkan emosi.

Tulisan di atas adalah berbagi cerita tentang kehidupan pribadi dan informasi publik, bukan merupakan saran investasi atau panduan tindakan apa pun. Rincian insiden mengacu pada pengumuman pihak proyek, laporan media tepercaya, dan analisis publik di blockchain; angka-angka dapat berubah seiring pembaruan penyelidikan. Silakan lakukan riset sendiri (DYOR) dan atur semuanya dengan tenang sesuai situasi Anda.