Crypto Gloss

Serangan Supply Chain Kripto

Serangan supply chain kripto menargetkan pustaka perangkat lunak, paket npm, atau integrasi pihak ketiga yang digunakan oleh frontend DeFi, dompet, dan penyedia infrastruktur — bukan menyerang smart contract secara langsung — sehingga dengan mengkompromikan satu dependensi upstream yang banyak digunakan, penyerang dapat menyuntikkan kode berbahaya yang menguras pengguna di lusinan protokol secara bersamaan tanpa mengeksploitasi kontrak masing-masing protokol yang telah diaudit.

Mengapa Kripto Sangat Rentan

Frontend Web3 berbagi attack surface dengan pengembangan web standar: paket npm, bundler, CDN, dan skrip pihak ketiga. Namun taruhannya jauh lebih tinggi — skrip berbahaya yang berjalan di browser pengguna selama interaksi DeFi dapat:

  • Mengintersep dan memodifikasi permintaan penandatanganan transaksi
  • Menukar alamat tujuan dengan alamat dompet penyerang
  • Mengirimkan transaksi drain secara diam-diam

Faktor risiko utama:

  • Kedalaman dependensi: Frontend DeFi tipikal mengimpor ratusan paket npm; setiap penulis paket adalah vektor serangan potensial
  • Dependensi transitif: Kode berbahaya dapat disuntikkan beberapa lapisan dalam
  • Auto-update defaults: Paket npm yang menerima rentang versi ^ (caret) secara otomatis menarik versi baru yang mungkin mengandung kode berbahaya

Cara Kerja Serangan Supply Chain

Paket npm yang dikompromikan:

Penyerang mendapatkan akses ke akun npm pustaka DeFi populer melalui pencurian kredensial atau rekayasa sosial. Mereka menerbitkan versi baru yang:

  • Memantau event koneksi dompet
  • Mengintersep panggilan eth_signTransaction atau personal_sign
  • Memodifikasi alamat to transaksi ke dompet penyerang

Pipeline build yang dikompromikan:

Pipeline CI/CD (GitHub Actions, CircleCI) dikompromikan. Kode sumber di GitHub terlihat bersih; kode yang di-deploy tidak.

Insiden Nyata

Ledger Connect Kit (Desember 2023)

Insiden paling berdampak. Penyerang mem-phishing akun NPMJS mantan karyawan Ledger dan menerbitkan versi berbahaya dari @ledgerhq/connect-kit — pustaka yang digunakan Sushiswap, MetaMask, dan lusinan frontend lainnya. Total yang dikuras: ~$600.000 sebelum Ledger dan komunitas mendorong pembaruan bersih darurat dalam ~5 jam.

Solana Web3.js (Desember 2024)

Pustaka @solana/web3.js dikompromikan sementara, dengan versi berbahaya yang diterbitkan yang mencoba mengeksfiltasi materi kunci privat dari penggunaan sisi server.

Perlindungan

Untuk pengguna:

  • Gunakan wallet hardware (Ledger, Trezor) — transaksi ditandatangani di perangkat terpisah, lebih sulit di-hijack
  • Periksa URL dan perbarui halaman web sebelum menyetujui transaksi besar
  • Pertimbangkan untuk menggunakan browser yang berbeda untuk DeFi

Untuk pengembang:

  • Pin versi paket yang tepat (lockfile) daripada menggunakan rentang caret
  • Audit dependensi secara teratur
  • Implementasikan CSP (Content Security Policy) yang kuat

Kritik

  • Masalah struktural: Ekosistem npm yang mengandalkan kepercayaan penulis individu secara fundamental tidak kompatibel dengan keamanan tinggi yang diperlukan untuk aplikasi kripto; industri belum menemukan solusi yang memadai.
  • Tanggung jawab difusi: Ketika serangan terjadi, tidak jelas siapa yang bertanggung jawab — protokol DeFi, pengembang pustaka, atau bursa? Pengguna sering tidak mendapat kompensasi.

Sentimen Media Sosial

  • r/ethereum / r/defi: Insiden Ledger Connect Kit memicu diskusi luas; komunitas menekankan pentingnya dompet hardware.
  • X/Twitter: Serangan supply chain diposting secara luas oleh peneliti keamanan; timeline serangan Ledger 2023 sangat banyak dianalisis.
  • Telegram (komunitas kripto Indonesia): Peringatan tentang serangan dompet disebarluaskan dengan cepat di grup kripto Indonesia setelah insiden besar.

Terakhir diperbarui: 2026-04

Istilah Terkait

Lihat Juga

Sumber