Pintu belakang di VS Code dalam proyek Solidity menargetkan data kripto
SlowMist menemukan backdoor pencurian data di repositori GitHub Hylance/sol-live, yang diperkenalkan sebagai proyek latihan wawancara Solidity. Kode berbahaya tersebut disembunyikan di pengaturan workspace VS Code dan dapat berjalan saat pengguna memilih konfigurasi terminal khusus proyek itu. Di macOS dan Linux, kode tersebut mengunduh dan menjalankan skrip jarak jauh. Eksekusinya di Windows belum dapat dipastikan karena kemungkinan ada kesalahan penggunaan tanda kutip.
Analisis kode yang diarsipkan dan payload yang tersimpan menemukan kemampuan untuk mengumpulkan basis data login browser dan data ekstensi dompet, menyalin berkas Keychain macOS, memindai dan mengunggah berkas lokal, memantau isi clipboard, serta menjalankan perintah melalui kanal kendali jarak jauh. Fungsi untuk mendekripsi kata sandi browser mengembalikan nilai kosong, dan para penyelidik tidak memverifikasi bahwa kata sandi, frasa seed, atau kunci privat berhasil didekripsi atau dicuri. Mereka juga tidak menjalankan sampel tersebut ataupun mengonfirmasi adanya infeksi atau eksfiltrasi data dari perangkat korban.
SlowMist mengatakan bahwa pengguna yang pernah menjalankan konfigurasi terminal berbahaya proyek tersebut sebaiknya memeriksa perangkat mereka dan, jika kemungkinan terpapar tidak dapat dikesampingkan, memindahkan aset dompet serta mengganti kredensial menggunakan perangkat tepercaya. Insiden ini menyoroti risiko rantai pasok perangkat lunak bagi pengembang kripto: membuka repositori saja belum dipastikan dapat memicu backdoor.
Neutral
Laporan tersebut menunjukkan risiko keamanan serius bagi pengembang perorangan dan pengguna kripto, tetapi tidak membuktikan adanya pelanggaran yang meluas di seluruh pasar, jumlah korban yang telah dikonfirmasi, ataupun kerugian dana yang terverifikasi. Analisis ini didasarkan pada kode yang diarsipkan dan payload yang disimpan; para peneliti tidak menjalankan malware tersebut dan tidak mengonfirmasi bahwa rahasia dompet berhasil didekripsi atau dicuri. Rutinitas dekripsi kata sandi browser dilaporkan mengembalikan nilai kosong, sehingga klaim tentang apa yang benar-benar diperoleh penyerang semakin terbatas.
Dalam jangka pendek, pengembang yang terdampak dapat meninjau log endpoint dan jaringan, mengganti kredensial, memindahkan dompet menggunakan perangkat tepercaya, serta mencabut persetujuan kontrak yang berisiko. Langkah pencegahan yang terarah seperti ini dapat menimbulkan kekhawatiran terbatas di kalangan pengguna repositori yang disebutkan atau proyek terkait, tetapi artikel tersebut tidak memberikan bukti adanya gangguan yang lebih luas terhadap perdagangan kripto, operasional bursa, atau jaringan blockchain. Pengungkapan malware serupa yang menargetkan perangkat pengembang dan rantai pasokan umumnya mendorong pemeriksaan keamanan dan kewaspadaan yang lebih tinggi, bukan perubahan harga kripto utama yang berkelanjutan—kecuali jika diikuti pencurian aset berskala besar yang telah dikonfirmasi.
Dalam jangka panjang, insiden ini dapat mendorong peninjauan yang lebih ketat terhadap pengaturan workspace VS Code dan konfigurasi pengembang lainnya, serta pemindaian repositori yang lebih baik untuk mendeteksi malware. Trader sebaiknya memantau infeksi yang telah dikonfirmasi, aset yang dicuri, atau kampanye yang lebih luas sebelum menganggap hal ini sebagai katalis pasar. Berdasarkan informasi yang tersedia, dampak yang paling mungkin adalah kekhawatiran keamanan yang terbatas, bukan sinyal arah bagi harga kripto.