慢雾 SlowMist

I. Latar Belakang
Tim Keamanan SlowMist baru-baru ini menerima permintaan bantuan dari seorang pengguna Fomo yang mengalami insiden. Pengguna melaporkan bahwa saat ia melihat detail token MOONLET di sisi web Fomo, ia mengeklik tautan situs resmi proyek yang ditampilkan di halaman tersebut, kemudian masuk ke voltage.family dan menyelesaikan proses “verifikasi manusia-mesin” sesuai petunjuk. Setelah itu, ia mendapati sekitar 48.000 USD asetnya telah dipindahkan dari akun. Sepanjang proses tersebut, ia tidak menghubungkan dompet, tidak melakukan otorisasi di rantai (on-chain), dan juga tidak memasukkan seed phrase (mnemonic) atau private key. Pengguna tersebut masuk ke Fomo melalui Google dan menyatakan bahwa akun belum mengaktifkan verifikasi dua langkah (two-factor).
Setelah menerima laporan, tim keamanan SlowMist menganalisis halaman dan skrip yang terkait. Mereka menemukan bahwa apa yang disebut sebagai “verifikasi manusia-mesin” akan mengarahkan pengguna untuk menambahkan dan mengeklik bookmark berbahaya. Bookmark tersebut menyertakan kode JavaScript yang bertujuan untuk membaca penyimpanan browser, mengambil token login di halaman Fomo, lalu mengirimkan data ke alamat eksternal.

Pada September 2026, Financial Action Task Force (FATF) merilis laporan khusus (Risks of Gaming and Gambling) yang melakukan analisis sistematis terhadap risiko pencucian uang, pendanaan terorisme, dan pendanaan proliferasi yang dihadapi sektor kasino, taruhan olahraga, bentuk perjudian lainnya, serta permainan daring.
Nilai dari laporan ini bukanlah menganggap semua aktivitas permainan dan perjudian secara seragam sebagai berisiko tinggi, melainkan mengungkap perubahan yang lebih layak mendapat perhatian bagi penyedia layanan aset virtual: ketika digitalisasi, lintas-batas, multi-produk, dan multi-mekanisme pembayaran saling bertumpuk, platform permainan dan perjudian sedang menjadi bagian dari ekosistem pemindahan nilai yang lebih luas. Bagi bursa, VASP, serta penyedia layanan aset virtual yang menawarkan pembayaran kripto, dana yang berasal dari ekosistem tersebut tidak boleh dipahami hanya sebagai satu “transaksi perjudian”, tetapi harus ditinjau dalam konteks hubungan dana yang utuh.

18 September, Jepang Kepolisian bergabung dengan Kantor Koordinasi Siber Nasional, serta FBI AS, Pusat Kejahatan Siber Departemen Pertahanan AS, Australian Signals Directorate/Pusat Keamanan Siber, Biro Intelijen Federal Jerman dan Kantor Federal untuk Perlindungan Konstitusi, keenam pihak bersama-sama mengeluarkan sebuah laporan bersama. Tokoh utamanya adalah sebuah kelompok peretas berlatar belakang Korea Utara—WaterPlum (juga dikenal sebagai "Contagious Interview", secara harfiah "wawancara palsu").
Kegiatan serangan "Contagious Interview" sebelumnya telah dilacak selama bertahun-tahun oleh banyak vendor keamanan internasional, dan kerap dianggap memiliki keterkaitan dengan Lazarus Group dari Korea Utara. Kali ini, untuk pertama kalinya, pihak kepolisian Jepang secara resmi bersama lembaga-lembaga dari berbagai negara mengungkap kasus spesifik di dalam negeri beserta bukti yang disita.

Latar belakang
Sampel berasal dari sebuah cabang pengembangan pada paket ekstensi Laravel Nova `visanduma/nova-two-factor`, yang terkait dengan aktivitas PolinRider. Ini adalah paket PHP yang diterbitkan di Packagist; hingga saat analisis artikel ini, jumlah unduhan telah melewati 700.000 kali.
Rantai pengiriman tidak menuliskan alamat C2 ke dalam sampel. Kode yang disuntikkan terlebih dahulu melakukan kueri ke Ethereum; dari alamat penerima pada satu transaksi, kode tersebut mengekstrak IP untuk dua server, lalu mengambil muatan berikutnya melalui HTTP. Jika penyerang ingin mengganti server, cukup kirim satu transaksi baru di blockchain, tanpa perlu menyuntikkan ulang paket ini.
Tujuan dari rantai ini adalah pencuri kredensial lintas platform yang mengumpulkan akun dan Cookie browser, data dompet terenkripsi, basis data manajer kata sandi, serta kredensial pengembangan.

Baru-baru ini, tim keamanan SlowMist menerima beberapa laporan bahwa aset pengguna dicuri. Setelah ditelusuri, peristiwa terkait semuanya melibatkan kebocoran kunci privat; sebagian pengguna yang terdampak pernah mengunduh dan menggunakan versi App FomoPeek 1.1–1.2.
Kami bekerja sama dengan tim keamanan OKX untuk melakukan analisis dan mengonfirmasi bahwa FomoPeek 1.1 dan 1.2 menyisipkan dua modul berbahaya, yaitu apptrace dan libapptracecore. Modul-modul ini memiliki kemampuan konfigurasi jarak jauh, eksploitasi celah kernel, escape dari sandbox, dekripsi Keychain, serta pengumpulan data lintas aplikasi.
Verifikasi dinamis menunjukkan bahwa aplikasi akan mengambil alamat C2 terenkripsi dari Bitbucket, lalu melaporkan informasi perangkat ke api-a95f0ed200f.assisaint[.]com dan menerima konfigurasi jarak jauh. Selama pengujian, nilai exploit_enabled yang dikembalikan oleh C2 adalah false. Untuk memverifikasi rantai eksekusi berikutnya, kami memodifikasi sakelar terkait yang telah didekripsi oleh klien menjadi true di lingkungan terisolasi melalui Hook. Setelah itu, kami memperoleh daftar pengumpulan yang ditargetkan untuk 19 dompet dan aplikasi catatan, serta menangkap permintaan lengkap saat kontainer Apple Notes dikemas dan diunggah.

Penulis: Johan & Lisa
Editor: 77
6 September pukul 13:52:10 UTC, dua transaksi dengan struktur yang sama muncul di blok nomor 4.050.335 milik Liquid. Satu menit kemudian, blok nomor 4.050.336 mengonfirmasi transaksi ketiga; sekitar 3.998,5 L-BTC masuk ke kumpulan UTXO, tanpa adanya satupun peg-in di belakangnya. Beberapa menit berikutnya, aset yang bahkan tidak pernah ada ini mulai dikelompokkan dan dikonsumsi, lalu ditukar melalui kanal federasi peg-out menjadi BTC asli di mainnet Bitcoin.
Keesokan harinya, 3.400 BTC dikembalikan ke dompet peg federasi. Sisa 598,5 BTC tetap berada di tangan penyerang; pada saat artikel ini ditulis, nilainya masih terus diputar kembali dalam transaksi berulang. Setiap transaksi menyertakan potongan teks OP_RETURN yang jelas, meminta federasi membayar sepuluh persen “hadiah”. Negosiasi hingga kini masih berlangsung secara terbuka di rantai (on-chain).

Pada 9 September, Kantor Pengawasan Aset Asing (OFAC) di bawah Kementerian Keuangan AS dan Departemen Kehakiman AS (DOJ) mengumumkan tindakan penegakan hukum yang terkoordinasi terhadap Penjaminan Xinbi (Xinbi Guarantee). OFAC menempatkan Penjaminan Xinbi dan dua perusahaan yang mendukung operasinya ke dalam daftar sanksi, sementara DOJ menindak tim operasional pusat penipuan (Scam Center Strike Force) dengan menyita infrastruktur dasar platform terkait dan dompet aset kripto. Berdasarkan pengumuman DOJ, tindakan terkoordinasi ini membatasi lebih dari 52 juta dolar AS aset kripto yang terkait dengan Penjaminan Xinbi dan jaringan para pedagangnya.
Aksi ini tidak menargetkan satu kelompok penipuan tunggal, melainkan jaringan layanan yang menopang kelangsungan aktivitas penipuan. Aparat penegak hukum AS menyebutkan bahwa penjaminan Xinbi menghubungkan kelompok penipuan dengan pedagang yang menyediakan layanan seperti pencucian uang dan pengembangan situs web penipuan, serta—melalui penampungan dana dan jaminan transaksi—memberikan kondisi agar transaksi ilegal tersebut dapat terus berjalan.

Penulis: Jiujiu
Edit: 77
Latar belakang
Pada 4 September 2026, platform pinjaman terdesentralisasi ternama Notional Finance diserang, dengan kerugian sekitar 1,73 juta dolar AS. Berikut analisis rinci dari tim keamanan SlowMist untuk peristiwa serangan ini:
Pengetahuan pendahuluan
Pada Notional Finance V1, fCash dapat dipahami sebagai piutang kas dengan tanggal jatuh tempo. Cash receiver menerima pembayaran saat jatuh tempo, sedangkan cash payer melakukan pembayaran saat jatuh tempo. Protokol mencatat kedua jenis posisi tersebut di Portfolio, lalu melalui pemeriksaan jaminan bebas (free collateral) ditentukan apakah suatu akun cukup sehat untuk membangun posisi.

Latar belakang
Halaman acara yang menjanjikan VPS gratis ini, pada kenyataannya adalah umpan. Pemulihan halaman dari arsip web publik menunjukkan bahwa event[.]polarnode[.]vip yang terdaftar pada akhir Agustus 2026 menyatakan https[:]//lk[.]wyincc[.]com/lk.js sebagai skrip pramuat, yang dimuat secara otomatis setelah halaman dapat berinteraksi, tanpa perlu klik dari pengunjung.
Setelah mendekode sampel loader yang tersimpan, kami mengonfirmasi bahwa itu ditujukan untuk pengiriman melalui Safari murni di iPhone yang menjalankan iOS 18.4–18.6.2, dan pada akhirnya mengarah pada pengambilan file, Keychain, serta input keyboard, dengan target tiga aplikasi dompet. Rantai ini sangat selaras dengan rantai eksploitasi DarkSword iOS yang dipublikasikan oleh Google Threat Intelligence Group (GTIG), terkait enam CVE, dan merupakan penggunaan ulang n-day.

Baru-baru ini, CEO OKX menanggapi sebuah posting pengguna berjudul “Platform perjudian langsung mentransfer dana ke bursa, sehingga pengisian/pengiriman dana memicu pemeriksaan.” Menurut pernyataan publiknya, pengisian dana dari alamat berisiko tinggi ke OKX dapat memicu pemeriksaan yang lebih ketat terkait Anti-Pencucian Uang (AML) dan penilaian risiko; berdasarkan kondisi spesifik, proses pemeriksaan dapat berlangsung selama 15 hari bahkan lebih lama, di mana selama periode tersebut sebagian fungsi akun dan/atau dana mungkin terkena pembatasan; untuk akun yang dipastikan terkait aktivitas berisiko tinggi atau ilegal, platform juga dapat mengakhiri layanan.
https://x.com/star_okx/status/2094980124236251207
OKX juga mengingatkan bahwa dana yang diperoleh melalui kanal seperti transaksi terjamin lewat grup Telegram, Huiwang dan turunannya, dapat menimbulkan risiko sumber dana yang lebih tinggi.

Seiring dengan terus berkembangnya aset kripto, pembayaran stablecoin, dan layanan keuangan digital, AML di-chain, KYT, serta analisis risiko dana kini menjadi kebutuhan nyata bagi semakin banyak institusi.
Untuk itu, MistTrack & SlowMist KYT secara resmi meluncurkan program kemitraan mitra, yang mengajak individu dan institusi di seluruh dunia dengan sumber daya di bidang Web3, keuangan, pembayaran, kepatuhan, keamanan, serta pasar lokal sebagai mitra.
Setelah bergabung dalam program, Anda dapat memperoleh:
Kode diskon pelanggan eksklusif, membantu pelanggan berlangganan dengan harga yang lebih terjangkau;
Atribusi pesanan otomatis dan catatan komisi, masa berlaku komisi hingga 3 tahun;

Pada 28 Agustus, di Cypher Asia Intelligent Crypto Finance Summit, pendiri SlowMist (Yu Xuan) menyampaikan pidato bertema (Gajah Abu-abu dan Angsa Hitam di Dunia Kripto). Ia memulai dari masalah keamanan yang umum terjadi di bidang kripto, menyusun secara sistematis risiko inti seperti dana dicuri, ditipu, hilang, dan dibekukan, serta membagikan pemikirannya tentang perlindungan keamanan.
Berikut ringkasan isi pembagian di lokasi.
Di dunia kripto, dana dicuri, ditipu, hilang, atau dibekukan bukanlah hal yang jarang. Banyak insiden keamanan tampak seperti kejadian tak terduga yang tiba-tiba, tetapi jika kita menoleh ke belakang, sebagian besar risikonya sebenarnya sudah ada jejaknya. Masalahnya tidak selalu karena “tidak mengetahui adanya risiko sama sekali”, melainkan bisa jadi risikonya sudah muncul, namun tidak mendapat perhatian yang cukup, atau langkah keamanan yang ada tidak benar-benar bekerja.

28 Agustus, SlowMist bekerja sama dengan ME Group mengadakan acara pertukaran industri berjudul "Menembus Kabut, Menuju Pembayaran yang Dapat Dipercaya｜Jejak Baru Kepatuhan Global Stablecoin dan Pembayaran Berbasis Agen Cerdas"; serta berpartisipasi dalam berbagai kegiatan industri seperti "Cypher Asia Smart Crypto Finance Summit" dan "AI x BTC - BTC Asia Side Event". Mengambil fokus pada kepatuhan stablecoin dan aplikasi pembayaran, keamanan kripto, serta infrastruktur dasar ekonomi digital, SlowMist berbagi pengalaman praktik dan pandangan keamanan bersama para mitra industri.
Sekarang, mari kita bersama-sama mengulas kembali momen-momen menarik hari ini—
Fokus pada kepatuhan stablecoin dan pembayaran berbasis agen cerdas, membahas pembangunan pembayaran yang dapat dipercaya

Latar belakang
Unduh sebuah model besar sumber terbuka, dan kekhawatiran yang biasanya Anda miliki adalah apakah ia bisa berjalan dengan normal dan apakah bobotnya benar. Kali ini, kekhawatiran sesungguhnya justru bersembunyi di tempat lain: sebuah repositori yang menampilkan parameter 27B, tetapi ketika sampai ke tangan Anda yang Anda terima hanya 487 KB—isinya bukanlah bobot, melainkan malware pencuri data.
Pada 20 Agustus 2026, repositori GitHub unburdened-jackinthebox365/qwen38-uncensored mengunggah ke direktori assets/ sebuah file bernama uncensored_qwen_v2.6.zip, dengan ukuran 487.153 byte. Repositori itu membungkusnya sedemikian rupa hingga hampir tidak bisa lolos pemeriksaan: halaman beranda mengklaim menyediakan bobot kuantisasi lokal untuk Qwen 3.8 27B, sementara README menekankan bahwa semuanya dapat dijalankan sepenuhnya secara offline, tanpa telemetri, dan data tidak keluar dari perangkat. Setiap kalimat tampak tepat sasaran untuk para pengguna model lokal. Empat hari kemudian, pada 24 Agustus, README kembali diubah—tombol unduh, tautan unduhan di isi artikel, serta dua tautan eksternal yang sebelumnya mengarah ke situs resmi Ollama dan LM Studio, semuanya dialihkan ke alamat raw dari ZIP yang sama.

Pada 28 Agustus, SlowMist bersama ME Group akan mengadakan acara diskusi industri di Hong Kong berjudul «Menembus Kabut, Menuju Pembayaran Tepercaya | Wawasan Baru Kepatuhan Stablecoin Global dan Pembayaran Berbasis Agen».
Acara ini akan menghadirkan para tamu industri dari berbagai bidang seperti stablecoin, pembayaran, AI Agent, kepatuhan, dan keamanan blockchain. Diskusi akan berfokus pada kepatuhan stablecoin global, perkembangan pembayaran berbasis agen, serta pembangunan sistem pembayaran tepercaya, untuk bersama-sama mengeksplorasi tantangan teknis, keamanan, dan kepatuhan dalam proses evolusi model pembayaran.
Waktu: 28 Agustus pukul 09:30 – 12:30
Lokasi: Hong Kong, CAI Building

Penulis: 九九
Editor: 77
Latar belakang
Pada 19 Agustus 2026, proyek jembatan lintas rantai terkenal Allbridge diserang, dengan kerugian sekitar 190.000 dolar AS. Namun, serangan ini justru memakan waktu hampir sebulan untuk diselesaikan. Berikut adalah analisis rinci dari tim keamanan SlowMist terhadap peristiwa serangan tersebut:
Pengetahuan pendahuluan
Untuk memahami serangan ini, kita perlu terlebih dahulu memahami protokol CCTP dari Circle dan sistem pengiriman pesan lintas rantainya.
CCTP adalah protokol transfer lintas rantai milik Circle. Cara kerjanya yang mendasar adalah: pada chain sumber, USDC dimusnahkan, lalu pada chain tujuan, USDC dengan jumlah yang setara dicetak kembali. Dengan demikian, jembatan tidak dapat menambah saldo secara tiba-tiba tanpa dasar.

Pada tanggal 28 Agustus, Hong Kong akan menjadi tuan rumah beberapa acara industri yang berfokus pada stablecoin, pembayaran berbasis agen cerdas, AI Agent, serta infrastruktur dasar Bitcoin. Sebagai perusahaan yang berfokus pada keamanan ekosistem blockchain, SlowMist akan mengadakan dan ikut berpartisipasi dalam beberapa acara di Hong Kong. Dengan menggabungkan riset dan praktik keamanan yang dimilikinya, SlowMist akan berdiskusi bersama mitra industri mengenai topik-topik terkait.
Menembus Kabut, Menuju Pembayaran yang Terpercaya | Tren Baru Kepatuhan Stablecoin Global dan Pembayaran Berbasis Agen Cerdas
Waktu: 28 Agustus 09:30–12:30
Lokasi: CAI Building, Hong Kong
Pendaftaran: https://luma.com/0c4fawzv
Pada pagi tanggal 28 Agustus, SlowMist akan berkolaborasi dengan ME Group untuk mengadakan acara pertukaran industri berjudul “Menembus Kabut, Menuju Pembayaran yang Terpercaya | Tren Baru Kepatuhan Stablecoin Global dan Pembayaran Berbasis Agen Cerdas” di Hong Kong. Saat itu, mitra ekosistem dari berbagai bidang seperti stablecoin, pembayaran, AI Agent, kepatuhan, serta keamanan akan berkumpul di Hong Kong untuk berdiskusi mengenai kepatuhan dan penerapan stablecoin global, evolusi teknologi pembayaran berbasis agen cerdas, serta pembangunan keamanan pada sistem pembayaran yang terpercaya.

Latar belakang
Solidity Pro adalah ekstensi VS Code untuk pengembang Solidity/Web3, diposisikan sebagai alat bantu pengembangan yang menyediakan fitur seperti penelusuran Gas, harga token, cuplikan kode, dan petunjuk kompilasi. Repositori GitHub-nya juga pernah mempromosikan kemampuan keamanan seperti AI Audit dan Security Scanner.
Dalam acara publik, Solidity Pro sebelumnya menggunakan dua publisher (identitas penerbit), yaitu helper-beeps dan web3devtoolsx. Extension ID (identitas unik ekstensi) masing-masing adalah helper-beeps.solidity-pro dan web3devtoolsx.solidity-pro. Meskipun identitas penerbit kemudian berubah, artefak build selanjutnya tetap mempertahankan publisher lama, alamat repositori, dan informasi hak cipta, yang menunjukkan adanya hubungan pewarisan rekayasa langsung di antara keduanya.

Beberapa waktu lalu, MistTrack Agent buatan SlowMist secara resmi bergabung sebagai third-party Agent di AgentOn. MistTrack Agent berfokus pada AML kripto dan penyelidikan on-chain, mengintegrasikan kemampuan pelacakan dana on-chain, analisis risiko, dan lain-lain ke dalam platform AgentOn, untuk menyediakan cara penyelidikan on-chain yang lebih efisien dan otomatis bagi pengguna.
Selamat mencoba MistTrack Agent:
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Uji coba terbatas: setiap pengguna dapat menikmati 10 kali panggilan gratis, berlaku selama 30 hari. Setelah kuota panggilan gratis habis atau masa berlaku berakhir, akan dikenakan biaya sesuai standar AgentOn.

Perkembangan berkelanjutan aset digital dan teknologi kecerdasan buatan sedang mendorong pembayaran memasuki tahap aplikasi baru. Di satu sisi, stablecoin semakin cepat keluar dari skenario on-chain, masuk lebih dalam ke proses bisnis nyata seperti pembayaran, kliring, dan manajemen dana. Di sisi lain, AI Agent juga secara bertahap beralih dari sekadar alat bantu menjadi partisipan pembayaran yang dapat mewakili pengguna dan perusahaan untuk melakukan kueri, mengambil keputusan, memanggil layanan, hingga memulai transaksi.
Ketika stablecoin mulai bergerak ke skenario pembayaran nyata, bagaimana kepatuhan benar-benar diterapkan? Ketika AI Agent mulai ikut dalam transaksi, bagaimana membangun mekanisme transaksi yang aman dan tepercaya—ini juga menjadi tantangan baru yang perlu dihadapi industri.