Dompet Kripto Menjadi Target Eksploitasi Library JavaScript—Perusahaan Keamanan Siber

bitcoinistDipublikasikan tanggal 2025-12-16Terakhir diperbarui pada 2025-12-16

Abstrak

Kerentanan kritis (CVE-2025-55182) dalam React Server Components versi 19.0 hingga 19.2.0 sedang dieksploitasi secara aktif oleh peretas untuk menyuntikkan kode berbahaya ke situs web. Menurut firma keamanan Security Alliance (SEAL), penyerang memanfaatkan celah ini untuk menjalankan kode arbitrer pada server yang rentan, yang kemudian digunakan untuk mencuri aset kripto dari dompet digital pengguna. Eksploitasi ini memungkinkan penjahat siber menyisipkan skrip penipuan yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi. Dalam beberapa kasus, antarmuka pengguna dimanipulasi agar korban mengirim dana ke alamat penyerang tanpa disadari. Lebih dari 50 organisasi, termasuk sektor keuangan dan teknologi, telah melaporkan upaya kompromi. Para peneliti memperingatkan bahwa alat pemindaian dan kit eksploitasi telah banyak dibagikan di forum bawah tanah, sehingga mempercepat serangan. SEAL mendesak semua operator untuk segera memeriksa dan memperbarui komponen React mereka ke versi yang telah ditambal (19.0.1, 19.1.2, 19.2.1) serta memantau server secara terus-menerus untuk mencegah serangan lebih lanjut.

Cacat kritis dalam React Server Components sedang digunakan oleh penyerang untuk menyuntikkan kode berbahaya ke dalam situs web langsung, dan kode tersebut mengalihkan kripto dari dompet yang terhubung.

Laporan mencatat bahwa kerentanan, yang dilacak sebagai CVE-2025-55182, diterbitkan oleh tim React pada 3 Desember dan memiliki peringkat keparahan maksimum.

Perusahaan keamanan siber Security Alliance (SEAL) telah mengonfirmasi bahwa beberapa situs web kripto secara aktif menjadi target, dan mereka mendesak operator untuk meninjau semua React Server Components segera untuk mencegah serangan pengosongan dompet.

Tim keamanan mengatakan bug ini memungkinkan penyerang yang tidak terautentikasi untuk menjalankan kode di server yang terpengaruh, yang telah diubah menjadi kampanye pengosongan dompet di beberapa situs.

Gambar: Shutterstock

Risiko Luas Untuk Situs yang Menggunakan Server Components

SEAL mengatakan cacat tersebut memengaruhi paket React Server Components dalam versi 19.0 hingga 19.2.0, dan rilis yang ditambal seperti 19.0.1, 19.1.2, dan 19.2.1 diterbitkan setelah pengungkapan.

Kerentanan bekerja dengan mengeksploitasi deserialisasi yang tidak aman dalam protokol Flight, memungkinkan satu permintaan HTTP yang dirancang untuk mengeksekusi kode arbitrer dengan hak istimewa server web. Tim keamanan telah memperingatkan bahwa banyak situs yang menggunakan konfigurasi default berisiko sampai mereka menerapkan pembaruan.

Penyerang Menyuntikkan Skrip Pengosongan Dompet Ke Halaman yang Disusupi

Menurut postingan industri, aktor ancaman menggunakan eksploitasi untuk menanam skrip yang meminta pengguna untuk menghubungkan dompet Web3 dan kemudian membajak atau mengalihkan transaksi.

Dalam beberapa kasus, kode yang disuntikkan mengubah antarmuka pengguna atau menukar alamat, sehingga pengguna percaya mereka mengirim dana ke satu akun sementara transaksi sebenarnya membayar penyerang. Metode ini dapat mengenai pengguna yang mempercayai situs kripto yang familiar dan menghubungkan dompet tanpa memeriksa setiap persetujuan.

BTCUSD sekarang diperdagangkan pada $89.626. Grafik: TradingView

Pemindai Dan Bukti-Konsep Palsu Membanjiri Forum Bawah Tanah

Peneliti keamanan melaporkan banjir alat pemindaian, kode bukti-konsep palsu, dan kit eksploitasi yang dibagikan di forum bawah tanah tak lama setelah kerentanan diungkap.

Tim cloud dan intelijen ancaman telah mengamati beberapa grup memindai server yang rentan dan menguji muatan, yang telah mempercepat eksploitasi aktif.

Beberapa pembela mengatakan bahwa kecepatan dan volume pemindaian telah membuat sulit untuk menghentikan semua upaya sebelum tambalan diterapkan.

Lebih Dari 50 Organisasi Melaporkan Upaya Kompromi

Berdasarkan laporan dari penanggap insiden, aktivitas kripto pasca-eksploitasi telah diamati di lebih dari 50 organisasi di seluruh keuangan, media, pemerintah, dan teknologi.

Dalam beberapa investigasi, penyerang membangun pijakan dan kemudian menggunakannya untuk mengirimkan malware lebih lanjut atau untuk menyebarkan kode front-end yang menargetkan pengguna dompet.

SEAL telah menekankan bahwa organisasi yang gagal menambal atau memantau server mereka dapat mengalami serangan lebih lanjut, dan pemantauan berkelanjutan sangat penting sampai semua sistem diverifikasi aman.

Gambar unggulan dari Unsplash, grafik dari TradingView

Pertanyaan Terkait

QApa yang dimaksud dengan kerentanan CVE-2025-55182 dan bagaimana dampaknya?

ACVE-2025-55182 adalah kerentanan kritis dalam React Server Components yang memungkinkan penyerang menyuntikkan kode berbahaya ke situs web. Dampaknya, penyerang dapat mengeksekusi kode sewenang-wenang pada server dan mencuri aset kripto dari dompet yang terhubung.

QVersi mana dari React Server Components yang terdampak oleh kerentanan ini?

AKerentanan ini memengaruhi paket React Server Components versi 19.0 hingga 19.2.0. Versi yang telah diperbaiki adalah 19.0.1, 19.1.2, dan 19.2.1.

QBagaimana cara penyerang mengeksploitasi kerentanan ini untuk mencuri aset kripto?

APenyerang memanfaatkan deserialisasi yang tidak aman dalam protokol Flight melalui permintaan HTTP yang dirancang khusus. Mereka menyuntikkan skrip berbahaya yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi untuk mencuri dana.

QApa yang direkomendasikan oleh Security Alliance (SEAL) kepada operator situs web?

ASEAL merekomendasikan agar semua operator situs web, khususnya yang bergerak di bidang kripto, segera meninjau semua React Server Components dan menerapkan pembaruan (patch) yang tersedia untuk mencegah serangan pengurasan dompet.

QSeberapa luas dampak dari eksploitasi kerentanan ini menurut laporan?

ABerdasarkan laporan, lebih dari 50 organisasi di sektor keuangan, media, pemerintah, dan teknologi telah mengalami upaya kompromi. Banyak kelompok penyerang aktif memindai server yang rentan dan menguji payload berbahaya.

Bacaan Terkait

Kes Perceraian Chey Tae-won Selesai: Mengungkap Garis Suksesi Tersembunyi di Balik Kerajaan Triliunan SK Hynix

Kasus perceraian Ketua SK Group, Choi Tae-won, akhirnya diputuskan, mengungkap garis suksesi tersembunyi di balik kerajaan triliunan won SK Hynix. Artikel ini menjelaskan perjalanan ketiga anaknya sebagai generasi penerus ketiga dalam keluarga Chaebol Korea Selatan yang tidak mengikuti skenario tradisional. Anak tertua, **Choi Yun-jung**, dianggap sebagai kandidat penerus yang paling jelas. Berpendidikan tinggi di bidang biologi dan informatika biomedis, dia memegang posisi eksekutif di SK Inc., mengelola perencanaan jangka panjang dan ekspansi global. Pernikahannya dengan pendiri startup infrastruktur AI mencerminkan pergeseran dari pernikahan dinasti tradisional. Anak kedua, **Choi Min-jung**, memiliki koneksi mendalam dengan SK Hynix, Washington, dan jaringan militer. Sebagai veteran Angkatan Laut Korea yang pernah bertugas di Teluk Aden, dia bekerja di divisi kebijakan internasional SK Hynix sebelum mendirikan startup perawatan kesehatan berbasis AI di AS. Dia menikahi mantan perwira Korps Marinir AS, menguatkan hubungannya dengan lingkungan geopolitik tempat perusahaan semikonduktor beroperasi. Putra satu-satunya, **Choi In-geun**, adalah yang paling sesuai dengan profil penerus tradisional namun justru paling diam. Setelah bekerja di SK E&S, dia kini berkarier di McKinsey Seoul, sebuah langkah yang dianggap sebagai pelatihan eksternal standar, bukan pernyataan suksesi. Kasus perceraian orang tua mereka, dengan tuntutan pembagian aset mencapai triliunan won, juga membawa ketiganya ke dalam narasi publik melalui berkas hukum. Sementara SK Hynix melonjak menjadi aset geopolitik global di era AI, ketiga anak ini tidak mewarisi jawaban sederhana, melainkan serangkaian tantangan kompleks industri AI global. Pewarisan bagi mereka bukan lagi sekadar masalah keluarga, melainkan uji kelayakan publik di panggung dunia baru.

marsbit2 hari yang lalu 09:11

Kes Perceraian Chey Tae-won Selesai: Mengungkap Garis Suksesi Tersembunyi di Balik Kerajaan Triliunan SK Hynix

marsbit2 hari yang lalu 09:11

Bank Menentang Kesepakatan Imbal Hasil Stablecoin – Bisakah Undang-Undang CLARITY Raih 60 Suara?

Kelompok perdagangan perbankan AS, Bank Policy Institute (BPI), menentang rancangan undang-undang CLARITY Act yang baru dirilis, menyoroti kekurangan dalam ketentuan terkait imbal hasil (yield) stablecoin dan pembiayaan ilegal. Industri perbankan menginginkan larangan total terhadap semua bentuk imbal hasil stablecoin, bukan hanya kompromi yang melarang insentif untuk saldo menganggur. Oposisi ini memengaruhi dukungan politik. Dua senator Republik, John Curtis dan John Cornyn, kini menyuarakan kekhawatiran serupa, yang berpotensi mengurangi dukungan Partai Republik menjadi 49 suara. Untuk mencapai ambang batas 60 suara di Senat, diperlukan 11 suara dari Demokrat, tetapi beberapa senator Demokrat yang mendukung crypto juga telah menyatakan penolakan karena isu etika dan pembiayaan ilegal. Waktu yang tersedia sangat sempit, hanya dua minggu sebelum Senat reses pada bulan Agustus. Pemimpin Mayoritas Senat John Thune meragukan RUU ini dapat disahkan sebelum reses. Penasihat Utama Crypto Gedung Putih, Patrick Witt, mendesak agar pemungutan suara segera dijadwalkan, sambil menyatakan bahwa ketentuan etika baru telah menjawab kekhawatiran Demokrat. Ekspektasi pasar terhadap keberhasilan RUU ini sempat turun menjadi 32%. Prospek penerapannya pada sesi ini semakin tidak pasti.

ambcrypto2 hari yang lalu 09:04

Bank Menentang Kesepakatan Imbal Hasil Stablecoin – Bisakah Undang-Undang CLARITY Raih 60 Suara?

ambcrypto2 hari yang lalu 09:04

2 Bulan, Valuasi Melonjak dari 88 Miliar Jadi 680 Miliar! OpenRouter, 'Stasiun Transit' AI Terbesar, Akan Diakuisisi

Stripe, pemroses pembayaran terbesar di dunia, dilaporkan sedang dalam negosiasi untuk mengakuisisi OpenRouter, pasar yang menghubungkan lebih dari 400 model AI besar, dengan harga sekitar 100 miliar USD. Harga ini mencerminkan lonjakan valuasi hampir 7 kali lipat dari 13 miliar USD dua bulan lalu. OpenRouter berfungsi sebagai lapisan perantara atau "mesin perbandingan harga" yang memungkinkan pengembang mengakses berbagai model AI (seperti GPT, Claude, atau model open-source) melalui satu API. Platform ini secara otomatis mencocokkan permintaan pengguna dengan model terbaik berdasarkan kompleksitas tugas, biaya, dan kecepatan, membantu aplikasi AI mengoptimalkan biaya tanpa mengubah pengalaman pengguna. Didirikan pada 2023 oleh Alex Atallah (salah satu pendiri OpenSea) dan Louis Vichy, OpenRouter telah mencatat pertumbuhan pesat dengan pendapatan tahunan mencapai 50 juta USD per April 2025. Akuisisi ini merupakan bagian dari strategi Stripe untuk memperluas infrastruktur ekonomi AI. Pada akhir 2025, mereka mengakuisisi Metronome, platform penagihan berbasis penggunaan. Dengan menggabungkan OpenRouter (pemilihan dan perutean model) dan Metronome (penagihan), Stripe bertujuan menawarkan solusi terpadu—dari pemilihan model, penagihan sesuai pemakaian, hingga pembayaran—bagi bisnis yang menggunakan AI. Langkah ini memperkuat posisi Stripe sebagai "pusat kendali" dalam alur kerja AI. Meski transaksi berpotensi diumumkan dalam sebulan, negosiasi masih bisa gagal.

链捕手2 hari yang lalu 09:03

2 Bulan, Valuasi Melonjak dari 88 Miliar Jadi 680 Miliar! OpenRouter, 'Stasiun Transit' AI Terbesar, Akan Diakuisisi

链捕手2 hari yang lalu 09:03

Dari OpenSea ke OpenRouter: Alex Atallah Mengulangi Skenario "Keluar di Puncak"?

Menurut laporan *Wall Street Journal*, raksasa pembayaran Stripe sedang dalam pembicaraan untuk mengakuisisi platform agregasi model AI, OpenRouter, dengan valuasi potensial mendekati $10 miliar. OpenRouter, didirikan oleh Alex Atallah (co-founder OpenSea), telah tumbuh pesat menjadi platform agregasi model AI terbesar dengan lebih dari 400 model, 10 juta pengguna, dan memproses lebih dari 200 triliun token per bulan. Ini bukan kali pertama Atallah membangun perusahaan bernilai miliaran dolar. Ia sebelumnya meninggalkan OpenSea di puncak gelembung NFT sebelum pasar mereda. Kini, di tengah ledakan AI, ia kembali mempertimbangkan "exit" strategis dengan menjual OpenRouter. Alasan di balik penjualan ini terkait sifat bisnis OpenRouter sebagai platform perantara dengan margin terbatas (biaya platform ~5-5.5%), meski volumenya besar. Pendapatan tahunannya sekitar $50 juta. Persaingan yang semakin ketat dan tekanan pada ruang margin membuat IPO kurang menarik. Namun, nilai utama OpenRouter bagi pembeli seperti Stripe terletak pada data penggunaan AI dunia nyata yang sangat berharga yang telah dikumpulkannya dari jutaan pengguna, yang sulit direplikasi dalam waktu singkat. Potensi akuisisi ini memicu pertanyaan: apakah ini puncak siklus AI baru atau validasi nilai infrastruktur AI?

链捕手2 hari yang lalu 08:46

Dari OpenSea ke OpenRouter: Alex Atallah Mengulangi Skenario "Keluar di Puncak"?

链捕手2 hari yang lalu 08:46

Pons V2 Hadirkan Pasangan Perdagangan RWA saat Robinhood Chain Memperluas Ambisinya

Pons, launchpad di Robinhood Chain, telah meluncurkan upgrade V2 dengan peningkatan likuiditas, penghapusan batasan perdagangan, dan dukungan untuk aset dunia nyata yang ditokenisasi (RWA). Upgrade ini merespons umpan balik komunitas seiring pesatnya pertumbuhan Robinhood Chain, yang telah mengunci total nilai lebih dari $300 juta dan menjadi salah satu jaringan Layer 2 Ethereum terpadat untuk perdagangan spekulatif. Pons V2 memperkenalkan kurva ikatan berbasis ETH untuk meningkatkan likuiditas dan memungkinkan perdagangan bebas bagi semua pengguna non-pengembang. Struktur biaya juga didesain ulang agar kreator dapat menerima fee dalam ETH secara default melalui pool Uniswap V4. Selain itu, upgrade ini menghadirkan pasangan perdagangan RWA kustom, selaras dengan fokus Robinhood Chain pada aset tokenisasi. Meski volume perdagangan DEX di jaringan ini telah melampaui $9 miliar (80%-nya dari meme coin), data menunjukkan 63% trader merugi dan hanya 46 dompet yang mendapat untung di atas $1 juta. Kehadiran RWA diharapkan dapat mendorong adopsi organik yang lebih berkelanjutan dibandingkan gelombang spekulasi meme coin yang bergantung pada narasi.

ambcrypto2 hari yang lalu 08:27

Pons V2 Hadirkan Pasangan Perdagangan RWA saat Robinhood Chain Memperluas Ambisinya

ambcrypto2 hari yang lalu 08:27

Trading

Spot
活动图片