Dompet Kripto Menjadi Target Eksploitasi Library JavaScript—Perusahaan Keamanan Siber

bitcoinistDipublikasikan tanggal 2025-12-16Terakhir diperbarui pada 2025-12-16

Abstrak

Kerentanan kritis (CVE-2025-55182) dalam React Server Components versi 19.0 hingga 19.2.0 sedang dieksploitasi secara aktif oleh peretas untuk menyuntikkan kode berbahaya ke situs web. Menurut firma keamanan Security Alliance (SEAL), penyerang memanfaatkan celah ini untuk menjalankan kode arbitrer pada server yang rentan, yang kemudian digunakan untuk mencuri aset kripto dari dompet digital pengguna. Eksploitasi ini memungkinkan penjahat siber menyisipkan skrip penipuan yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi. Dalam beberapa kasus, antarmuka pengguna dimanipulasi agar korban mengirim dana ke alamat penyerang tanpa disadari. Lebih dari 50 organisasi, termasuk sektor keuangan dan teknologi, telah melaporkan upaya kompromi. Para peneliti memperingatkan bahwa alat pemindaian dan kit eksploitasi telah banyak dibagikan di forum bawah tanah, sehingga mempercepat serangan. SEAL mendesak semua operator untuk segera memeriksa dan memperbarui komponen React mereka ke versi yang telah ditambal (19.0.1, 19.1.2, 19.2.1) serta memantau server secara terus-menerus untuk mencegah serangan lebih lanjut.

Cacat kritis dalam React Server Components sedang digunakan oleh penyerang untuk menyuntikkan kode berbahaya ke dalam situs web langsung, dan kode tersebut mengalihkan kripto dari dompet yang terhubung.

Laporan mencatat bahwa kerentanan, yang dilacak sebagai CVE-2025-55182, diterbitkan oleh tim React pada 3 Desember dan memiliki peringkat keparahan maksimum.

Perusahaan keamanan siber Security Alliance (SEAL) telah mengonfirmasi bahwa beberapa situs web kripto secara aktif menjadi target, dan mereka mendesak operator untuk meninjau semua React Server Components segera untuk mencegah serangan pengosongan dompet.

Tim keamanan mengatakan bug ini memungkinkan penyerang yang tidak terautentikasi untuk menjalankan kode di server yang terpengaruh, yang telah diubah menjadi kampanye pengosongan dompet di beberapa situs.

Gambar: Shutterstock

Risiko Luas Untuk Situs yang Menggunakan Server Components

SEAL mengatakan cacat tersebut memengaruhi paket React Server Components dalam versi 19.0 hingga 19.2.0, dan rilis yang ditambal seperti 19.0.1, 19.1.2, dan 19.2.1 diterbitkan setelah pengungkapan.

Kerentanan bekerja dengan mengeksploitasi deserialisasi yang tidak aman dalam protokol Flight, memungkinkan satu permintaan HTTP yang dirancang untuk mengeksekusi kode arbitrer dengan hak istimewa server web. Tim keamanan telah memperingatkan bahwa banyak situs yang menggunakan konfigurasi default berisiko sampai mereka menerapkan pembaruan.

Penyerang Menyuntikkan Skrip Pengosongan Dompet Ke Halaman yang Disusupi

Menurut postingan industri, aktor ancaman menggunakan eksploitasi untuk menanam skrip yang meminta pengguna untuk menghubungkan dompet Web3 dan kemudian membajak atau mengalihkan transaksi.

Dalam beberapa kasus, kode yang disuntikkan mengubah antarmuka pengguna atau menukar alamat, sehingga pengguna percaya mereka mengirim dana ke satu akun sementara transaksi sebenarnya membayar penyerang. Metode ini dapat mengenai pengguna yang mempercayai situs kripto yang familiar dan menghubungkan dompet tanpa memeriksa setiap persetujuan.

BTCUSD sekarang diperdagangkan pada $89.626. Grafik: TradingView

Pemindai Dan Bukti-Konsep Palsu Membanjiri Forum Bawah Tanah

Peneliti keamanan melaporkan banjir alat pemindaian, kode bukti-konsep palsu, dan kit eksploitasi yang dibagikan di forum bawah tanah tak lama setelah kerentanan diungkap.

Tim cloud dan intelijen ancaman telah mengamati beberapa grup memindai server yang rentan dan menguji muatan, yang telah mempercepat eksploitasi aktif.

Beberapa pembela mengatakan bahwa kecepatan dan volume pemindaian telah membuat sulit untuk menghentikan semua upaya sebelum tambalan diterapkan.

Lebih Dari 50 Organisasi Melaporkan Upaya Kompromi

Berdasarkan laporan dari penanggap insiden, aktivitas kripto pasca-eksploitasi telah diamati di lebih dari 50 organisasi di seluruh keuangan, media, pemerintah, dan teknologi.

Dalam beberapa investigasi, penyerang membangun pijakan dan kemudian menggunakannya untuk mengirimkan malware lebih lanjut atau untuk menyebarkan kode front-end yang menargetkan pengguna dompet.

SEAL telah menekankan bahwa organisasi yang gagal menambal atau memantau server mereka dapat mengalami serangan lebih lanjut, dan pemantauan berkelanjutan sangat penting sampai semua sistem diverifikasi aman.

Gambar unggulan dari Unsplash, grafik dari TradingView

Pertanyaan Terkait

QApa yang dimaksud dengan kerentanan CVE-2025-55182 dan bagaimana dampaknya?

ACVE-2025-55182 adalah kerentanan kritis dalam React Server Components yang memungkinkan penyerang menyuntikkan kode berbahaya ke situs web. Dampaknya, penyerang dapat mengeksekusi kode sewenang-wenang pada server dan mencuri aset kripto dari dompet yang terhubung.

QVersi mana dari React Server Components yang terdampak oleh kerentanan ini?

AKerentanan ini memengaruhi paket React Server Components versi 19.0 hingga 19.2.0. Versi yang telah diperbaiki adalah 19.0.1, 19.1.2, dan 19.2.1.

QBagaimana cara penyerang mengeksploitasi kerentanan ini untuk mencuri aset kripto?

APenyerang memanfaatkan deserialisasi yang tidak aman dalam protokol Flight melalui permintaan HTTP yang dirancang khusus. Mereka menyuntikkan skrip berbahaya yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi untuk mencuri dana.

QApa yang direkomendasikan oleh Security Alliance (SEAL) kepada operator situs web?

ASEAL merekomendasikan agar semua operator situs web, khususnya yang bergerak di bidang kripto, segera meninjau semua React Server Components dan menerapkan pembaruan (patch) yang tersedia untuk mencegah serangan pengurasan dompet.

QSeberapa luas dampak dari eksploitasi kerentanan ini menurut laporan?

ABerdasarkan laporan, lebih dari 50 organisasi di sektor keuangan, media, pemerintah, dan teknologi telah mengalami upaya kompromi. Banyak kelompok penyerang aktif memindai server yang rentan dan menguji payload berbahaya.

Bacaan Terkait

Dialog dengan Ray Dalio: Saat Ini Berada dalam Gelembung AI, 1% Portofolio Investasi Adalah Bitcoin

Sumber: The Diary Of A CEO Ray Dalio, pendiri Bridgewater Associates yang meramalkan krisis keuangan 2008, memperingatkan bahwa ledakan AI saat ini menunjukkan tanda-tanda klasik gelembung ekonomi yang dapat pecah dan memicu resesi. Dalam wawancara podcast, dia menjelaskan dinamika "siklus besar" yang didorong oleh ketimpangan kekayaan, defisit pemerintah, dan perubahan geopolitik. Dalio mengidentifikasi pola di mana antusiasme berlebihan terhadap teknologi revolusioner baru, seperti AI, menyebabkan harga aset melambung dan pinjaman berlebihan. Ketika kondisi berubah (seperti kenaikan suku bunga atau kebutuhan tunai), gelembung ini dapat pecah, menyebabkan penurunan harga aset, kerugian luas, dan kontraksi ekonomi. Untuk melindungi kekayaan di masa ketidakpastian, Dalio sangat menekankan pentingnya **diversifikasi portofolio**—termasuk saham, obligasi, emas, dan real estat—daripada mengandalkan uang tunai saja. Dia mengungkapkan bahwa sekitar **1% portofolionya adalah Bitcoin**, yang diakuinya sebagai aset keras, tetapi dia lebih menyukai **emas fisik** karena sejarahnya sebagai penyimpan nilai dan aset bebas liabilitas. Mengenai dampak AI, Dalio percaya bahwa teknologi ini akan menggantikan tidak hanya tenaga fisik tetapi juga kemampuan kognitif manusia, berpotensi memperlebar kesenjangan antara pemilik modal dan pekerja. Masa depan akan menguntungkan mereka yang dapat memadukan kecerdasan manusia (seperti emosi dan intuisi) dengan kemitraan AI. Secara geopolitik, Dalio menggambarkan dunia yang memasuki fase "penurunan" dalam tatanan global, dengan Amerika Serikat menghadapi tantangan internal dan eksternal, termasuk konflik seperti di Iran yang mengungkap kelemahannya. Dia memprediksi dunia mungkin menjadi lebih terregionalisasi di masa depan. Secara keseluruhan, kunci untuk navigasi melalui periode kompleks ini adalah pemahaman akan pola sejarah, adaptasi, dan diversifikasi yang cermat.

marsbit52m yang lalu

Dialog dengan Ray Dalio: Saat Ini Berada dalam Gelembung AI, 1% Portofolio Investasi Adalah Bitcoin

marsbit52m yang lalu

Rekor! Beli Bersih Asing 7,2 Triliun Won dalam Sehari, Wall Street: Tekanan Likuiditas di Pasar Saham Korea Telah Mereda

**Ringkasan: Rekor Pembelian Asing dan Peningkatan Likuiditas di Pasar Saham Korea** Aliran modal asing menunjukkan perubahan signifikan di pasar saham Korea (KOSPI). Pada 31 Juli, investor asing melakukan pembelian bersih rekor sebesar 7,2 triliun Won Korea dalam sehari, menandai pembalikan dari tren penjualan bersih besar-besaran dalam beberapa bulan terakhir. Secara bulanan, penjualan bersih asing menyusut drastis menjadi 9,8 triliun Won di Juli, turun dari 48,4 triliun dan 44,5 triliun Won pada Juni dan Mei. Tekanan penjualan dari lembaga domestik juga mereda. Dana pensiun dan reksa dana domestik justru menjadi pembeli bersih 1,0 triliun Won di Juli, setelah dua bulan sebelumnya menjadi penjual bersih. Faktor pendukung lainnya adalah peraturan baru dari Komisi Jasa Keuangan (FSC) yang memberlakukan syarat lebih ketat bagi investor ritel untuk masuk ke ETF leverage saham tunggal, yang langsung mengurangi volume perdagangan instrumen tersebut hingga sekitar 50%. Kebijakan ini diperkirakan dapat menekan volatilitas pasar. Citigroup mempertahankan target indeks KOSPI di level 10.000 poin, menyoroti memudarnya angin penentu likuiditas. Analis mereka menilai faktor fundamental seperti industri chip memori yang solid, valuasi historis yang rendah, fundamental ekonomi Korea yang kuat, dan dukungan kebijakan berpotensi menjadi pendorong bagi pasar.

marsbit52m yang lalu

Rekor! Beli Bersih Asing 7,2 Triliun Won dalam Sehari, Wall Street: Tekanan Likuiditas di Pasar Saham Korea Telah Mereda

marsbit52m yang lalu

Pembaruan! AI Generasi Berikut OpenAI Pecahkan 10 Masalah Kelas Medali Fields

**OpenAI Model Astra Pecahkan 10 Masalah Matematika Kelas Fields Medal!** OpenAI mengumumkan terobosan besar dari model internal terbarunya, Astra. Model ini dilaporkan telah membuat kemajuan signifikan dalam **10 masalah matematika yang belum terpecahkan**, dengan biaya komputasi hanya sekitar **$2000**. Hasilnya dipublikasikan dalam makalah setebal 249 halaman. Beberapa pencapaian utama meliputi: 1. **Menyelesaikan masalah "non-sofic group"** yang diajukan Mikhail Gromov tahun 1999, dengan membangun contoh kelompok yang tak hingga dan finitely presented yang bukan sofic. Ini dianggap sebagai kemajuan bersejarah. 2. **Memecahkan batas lama dalam masalah pengepakan bola berdimensi tinggi** (sphere packing), meningkatkan batas yang telah bertahan sejak 1978 untuk dimensi tak hingga. 3. **Menyangkal dugaan "Connes Rigidity"** dengan membangun keluarga tak terhitung dari kelompok berbeda yang menghasilkan aljabar von Neumann yang sama persis. Semua bukti telah diverifikasi menggunakan asisten pembuktian formal Lean 4, memastikan ketepatannya. Para ahli matematika menyebut temuan ini sebagai **momen bersejarah**, setara dengan prestasi penghargaan Fields Medal, dan menandai kemampuan AI untuk melakukan penalaran matematika mendalam di berbagai bidang. OpenAI juga membagikan proses penalaran model, menunjukkan langkah maju yang besar menuju AGI (Artificial General Intelligence).

marsbit2j yang lalu

Pembaruan! AI Generasi Berikut OpenAI Pecahkan 10 Masalah Kelas Medali Fields

marsbit2j yang lalu

Bagaimana Membuat Diri Sendiri Tak Tergantikan oleh Kecerdasan Buatan

**Ringkasan: Bagaimana Membuat Diri Anda Tak Tergantikan oleh AI** Artikel ini membahas ancaman nyata dalam era AI: bukan kehilangan pekerjaan, tetapi "perbudakan gaji"—ketergantungan pada sistem dan orang lain untuk bertahan hidup. Solusinya adalah menjadi "individu super" yang "tak bisa dipekerjakan" dengan membangun bisnis atau karya sendiri. Kunci untuk bertahan dan berkembang di masa depan bukan sekadar keterampilan teknis, tetapi menguasai lima elemen yang sulit digantikan AI: 1. **Otonomi (Agency):** Kemampuan bertindak tanpa menunggu perintah. 2. **Rasa (Taste):** Pengalaman untuk mengetahui apa yang bernilai untuk ditawarkan. 3. **Kemampuan Persuasi (Persuasion):** Keterampilan menarik perhatian dan pengakuan. 4. **Ketekunan (Persistence):** Memahami bahwa kegagalan adalah bagian dari proses. 5. **Iterasi (Iteration):** Kemampuan memperbaiki kesalahan berdasarkan umpan balik. Lima elemen ini dapat dikembangkan dengan **membuat konten** (media). Dibandingkan pemrograman (code), konten lebih unggul karena nilainya subjektif, membutuhkan penilaian manusia, dan merupakan alat distribusi yang ampuh untuk membangun koneksi dan otoritas. Untuk memulai transformasi: 1. **Ubah lingkungan** Anda secara drastis untuk memicu perubahan identitas. 2. **Gali "bahan mentah"** Anda: Identifikasi pengetahuan mendalam, masalah yang pernah Anda selesaikan, dan minat unik masa kecil Anda. 3. **Temukan "poros pemikiran balik"**: Tentukan pendapat kontra-intuitif atau keyakinan Anda yang bertentangan dengan arus utama dalam bidang Anda. 4. **Luncurkan ide pertama** Anda besok. Gabungkan jawaban dari langkah 2 dan 3, lalu publikasikan. Umpan balik nyata dari dunia adalah guru terbaik. Intinya, bangunlah *karier seumur hidup* yang autentik berdasarkan pengalaman dan sudut pandang unik Anda. Dengan memanfaatkan AI sebagai alat dan fokus pada pengembangan diri yang tak tergantikan, Anda dapat mengambil kendali atas hidup dan masa depan Anda.

marsbit2j yang lalu

Bagaimana Membuat Diri Sendiri Tak Tergantikan oleh Kecerdasan Buatan

marsbit2j yang lalu

Kunci Bitcoin Disimpan Offline Berkat Lemparan Dadu, Tetapi Tidak Semua Orang Akan Melakukannya

Berdasarkan insiden kerentanan generator angka acak pada perangkat hardware wallet Coldcard, artikel ini membahas metode pembuatan kunci Bitcoin menggunakan dadu untuk menghasilkan entropi mandiri. Claude Shannon mengukur ketidakpastian dengan konsep entropi, di mana satu lemparan dadu enam sisi setara dengan sekitar 2,585 bit. Praktik melempar dadu 50 hingga 99 kali dapat menghasilkan frasa pemulihan 12 kata yang aman (128 bit entropi), melampaui ketergantungan pada generator perangkat. Namun, insiden Coldcard mengungkap bahwa meskipun seed utama dibuat dari dadu aman, fungsi lain seperti dompet kertas, kunci kloning, dan password masih berpotensi menggunakan generator cacat. Peneliti keamanan Kevin Loaec menekankan bahwa perlindungan hanya berlaku untuk seed utama, bukan keseluruhan sistem. Proses manual ini membutuhkan ketelitian tinggi, rentan kesalahan, dan tidak praktis bagi kebanyakan pengguna baru. Oleh karena itu, meski kuat secara matematis, metode ini lebih cocok untuk pengguna berpengalaman. Artikel menyarankan pemilik Coldcard untuk memperbarui firmware, memeriksa fungsi yang pernah digunakan, dan mempertimbangkan skema multisignature dengan perangkat dari produsen berbeda untuk mitigasi risiko. Tujuan jangka panjang adalah perangkat yang dapat menghasilkan keacakan kuat secara mandiri, tanpa memerlukan prosedur rumit dari pengguna.

cryptonews.ru6j yang lalu

Kunci Bitcoin Disimpan Offline Berkat Lemparan Dadu, Tetapi Tidak Semua Orang Akan Melakukannya

cryptonews.ru6j yang lalu

Trading

Spot
活动图片

Kategori Populerright-arrow

Tag Populerright-arrow