Dompet Kripto Menjadi Target Eksploitasi Library JavaScript—Perusahaan Keamanan Siber

bitcoinistDipublikasikan tanggal 2025-12-16Terakhir diperbarui pada 2025-12-16

Abstrak

Kerentanan kritis (CVE-2025-55182) dalam React Server Components versi 19.0 hingga 19.2.0 sedang dieksploitasi secara aktif oleh peretas untuk menyuntikkan kode berbahaya ke situs web. Menurut firma keamanan Security Alliance (SEAL), penyerang memanfaatkan celah ini untuk menjalankan kode arbitrer pada server yang rentan, yang kemudian digunakan untuk mencuri aset kripto dari dompet digital pengguna. Eksploitasi ini memungkinkan penjahat siber menyisipkan skrip penipuan yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi. Dalam beberapa kasus, antarmuka pengguna dimanipulasi agar korban mengirim dana ke alamat penyerang tanpa disadari. Lebih dari 50 organisasi, termasuk sektor keuangan dan teknologi, telah melaporkan upaya kompromi. Para peneliti memperingatkan bahwa alat pemindaian dan kit eksploitasi telah banyak dibagikan di forum bawah tanah, sehingga mempercepat serangan. SEAL mendesak semua operator untuk segera memeriksa dan memperbarui komponen React mereka ke versi yang telah ditambal (19.0.1, 19.1.2, 19.2.1) serta memantau server secara terus-menerus untuk mencegah serangan lebih lanjut.

Cacat kritis dalam React Server Components sedang digunakan oleh penyerang untuk menyuntikkan kode berbahaya ke dalam situs web langsung, dan kode tersebut mengalihkan kripto dari dompet yang terhubung.

Laporan mencatat bahwa kerentanan, yang dilacak sebagai CVE-2025-55182, diterbitkan oleh tim React pada 3 Desember dan memiliki peringkat keparahan maksimum.

Perusahaan keamanan siber Security Alliance (SEAL) telah mengonfirmasi bahwa beberapa situs web kripto secara aktif menjadi target, dan mereka mendesak operator untuk meninjau semua React Server Components segera untuk mencegah serangan pengosongan dompet.

Tim keamanan mengatakan bug ini memungkinkan penyerang yang tidak terautentikasi untuk menjalankan kode di server yang terpengaruh, yang telah diubah menjadi kampanye pengosongan dompet di beberapa situs.

Gambar: Shutterstock

Risiko Luas Untuk Situs yang Menggunakan Server Components

SEAL mengatakan cacat tersebut memengaruhi paket React Server Components dalam versi 19.0 hingga 19.2.0, dan rilis yang ditambal seperti 19.0.1, 19.1.2, dan 19.2.1 diterbitkan setelah pengungkapan.

Kerentanan bekerja dengan mengeksploitasi deserialisasi yang tidak aman dalam protokol Flight, memungkinkan satu permintaan HTTP yang dirancang untuk mengeksekusi kode arbitrer dengan hak istimewa server web. Tim keamanan telah memperingatkan bahwa banyak situs yang menggunakan konfigurasi default berisiko sampai mereka menerapkan pembaruan.

Penyerang Menyuntikkan Skrip Pengosongan Dompet Ke Halaman yang Disusupi

Menurut postingan industri, aktor ancaman menggunakan eksploitasi untuk menanam skrip yang meminta pengguna untuk menghubungkan dompet Web3 dan kemudian membajak atau mengalihkan transaksi.

Dalam beberapa kasus, kode yang disuntikkan mengubah antarmuka pengguna atau menukar alamat, sehingga pengguna percaya mereka mengirim dana ke satu akun sementara transaksi sebenarnya membayar penyerang. Metode ini dapat mengenai pengguna yang mempercayai situs kripto yang familiar dan menghubungkan dompet tanpa memeriksa setiap persetujuan.

BTCUSD sekarang diperdagangkan pada $89.626. Grafik: TradingView

Pemindai Dan Bukti-Konsep Palsu Membanjiri Forum Bawah Tanah

Peneliti keamanan melaporkan banjir alat pemindaian, kode bukti-konsep palsu, dan kit eksploitasi yang dibagikan di forum bawah tanah tak lama setelah kerentanan diungkap.

Tim cloud dan intelijen ancaman telah mengamati beberapa grup memindai server yang rentan dan menguji muatan, yang telah mempercepat eksploitasi aktif.

Beberapa pembela mengatakan bahwa kecepatan dan volume pemindaian telah membuat sulit untuk menghentikan semua upaya sebelum tambalan diterapkan.

Lebih Dari 50 Organisasi Melaporkan Upaya Kompromi

Berdasarkan laporan dari penanggap insiden, aktivitas kripto pasca-eksploitasi telah diamati di lebih dari 50 organisasi di seluruh keuangan, media, pemerintah, dan teknologi.

Dalam beberapa investigasi, penyerang membangun pijakan dan kemudian menggunakannya untuk mengirimkan malware lebih lanjut atau untuk menyebarkan kode front-end yang menargetkan pengguna dompet.

SEAL telah menekankan bahwa organisasi yang gagal menambal atau memantau server mereka dapat mengalami serangan lebih lanjut, dan pemantauan berkelanjutan sangat penting sampai semua sistem diverifikasi aman.

Gambar unggulan dari Unsplash, grafik dari TradingView

Pertanyaan Terkait

QApa yang dimaksud dengan kerentanan CVE-2025-55182 dan bagaimana dampaknya?

ACVE-2025-55182 adalah kerentanan kritis dalam React Server Components yang memungkinkan penyerang menyuntikkan kode berbahaya ke situs web. Dampaknya, penyerang dapat mengeksekusi kode sewenang-wenang pada server dan mencuri aset kripto dari dompet yang terhubung.

QVersi mana dari React Server Components yang terdampak oleh kerentanan ini?

AKerentanan ini memengaruhi paket React Server Components versi 19.0 hingga 19.2.0. Versi yang telah diperbaiki adalah 19.0.1, 19.1.2, dan 19.2.1.

QBagaimana cara penyerang mengeksploitasi kerentanan ini untuk mencuri aset kripto?

APenyerang memanfaatkan deserialisasi yang tidak aman dalam protokol Flight melalui permintaan HTTP yang dirancang khusus. Mereka menyuntikkan skrip berbahaya yang meminta pengguna menghubungkan dompet Web3, lalu mengalihkan atau membajak transaksi untuk mencuri dana.

QApa yang direkomendasikan oleh Security Alliance (SEAL) kepada operator situs web?

ASEAL merekomendasikan agar semua operator situs web, khususnya yang bergerak di bidang kripto, segera meninjau semua React Server Components dan menerapkan pembaruan (patch) yang tersedia untuk mencegah serangan pengurasan dompet.

QSeberapa luas dampak dari eksploitasi kerentanan ini menurut laporan?

ABerdasarkan laporan, lebih dari 50 organisasi di sektor keuangan, media, pemerintah, dan teknologi telah mengalami upaya kompromi. Banyak kelompok penyerang aktif memindai server yang rentan dan menguji payload berbahaya.

Bacaan Terkait

Kirim Pesan Bisa Transfer Koin? Telegram Akan 'Suntik' Dompet Kripto untuk 1 Miliar Pengguna Musim Panas Ini

Pendiri Telegram, Pavel Durov, mengumumkan bahwa musim panas ini dompet kripto non-penampung (non-custodial) asli, "Gram wallet", akan dibangun ke dalam semua aplikasi Telegram. Langkah ini menargetkan lebih dari 1 miliar pengguna bulanan, menawarkan transfer aset kripto instan dan tanpa biaya. Dompet baru ini berbeda dari bot @wallet pihak ketiga yang sudah ada, karena dikembangkan langsung oleh Telegram dan pengguna mengontrol kunci pribadi mereka sendiri. Pengumuman tersebut mendorong harga GRAM (sebelumnya Toncoin) naik sekitar 8%. Namun, harga saat ini masih jauh dari titik tertinggi sebelumnya. Keputusan Durov ini adalah bagian dari roadmap "Make TON Great Again" (MTONGA), menandai kembalinya Telegram ke proyek blockchain TON setelah sebelumnya berkonflik dengan SEC pada 2018-2020. Langkah Telegram terjadi di tengah persaingan ketat fitur pembayaran di aplikasi super. X Money pimpinan Elon Musk fokus pada rute fiat yang sesuai regulasi, sementara Meta mengeksplorasi pembayaran stablecoin. Telegram memilih jalur asli kripto dengan dompet non-penampung, memanfaatkan basis pengguna besar dan kedekatan alami dengan komunitas kripto. Namun, janji "tanpa biaya" dan detail teknis lainnya, seperti dukungan aset selain GRAM serta strategi edukasi pengguna baru, masih belum diungkap. Jadwal peluncuran yang tepat juga hanya disebut "musim panas ini".

marsbit45m yang lalu

Kirim Pesan Bisa Transfer Koin? Telegram Akan 'Suntik' Dompet Kripto untuk 1 Miliar Pengguna Musim Panas Ini

marsbit45m yang lalu

Proposal HIP-4 Hyperliquid Bahan Bakar Staking HYPE Seiring Keyakinan Jangka Panjang Meningkat

Hyperliquid mengusulkan peningkatan HIP-4 untuk memperkenalkan pasar hasil tanpa izin, memperluas protokol di luar futures perpetual menjadi lapisan infrastruktur untuk aplikasi on-chain. Untuk meluncurkan pasar baru, deployer harus staking 500.000 HYPE. Proposal ini menggeser fokus Hyperliquid dari membangun produk menjadi memungkinkan pengembang membangun di atas infrastrukturnya. Keyakinan jangka panjang terhadap HYPE meningkat, tercermin dari sentimen positif yang mencapai level tertinggi kedua dalam sebulan. Seorang trader besar memilih untuk staking 249.243 HYPE (senilai ~$15,5 juta) alih-alih mengambil keuntungan. Total HYPE yang di-staking mencapai sekitar 438,7 juta token (43,9% dari total pasokan), mengurangi ketersediaan langsung dan memperkuat keamanan jaringan. Struktur pasar juga menunjukkan momentum positif. Open interest melampaui $11 miliar, dengan funding rate seimbang dan likuidasi terbatas, mengindikasikan paparan yang diukur. Pendapatan protokol, TVL, dan partisipasi governance terus menguat. Kelangsungan momentum ini bergantung pada adopsi pengguna dan eksekusi upgrade yang sukses, yang dapat semakin memperkuat nilai jangka panjang HYPE.

ambcrypto48m yang lalu

Proposal HIP-4 Hyperliquid Bahan Bakar Staking HYPE Seiring Keyakinan Jangka Panjang Meningkat

ambcrypto48m yang lalu

7 Bulan Setelah Runtuhnya Huiwang, Lanskap Platform Jaminan Asia Tenggara Menghadapi Reshuffle Besar

Setelah platform garansi terkenal Asia Tenggara, "Huiwang Pay", runtuh pada Desember tahun lalu, pasar menyaksikan perubahan besar dan kemunculan platform-platform baru yang mengisi kekosongan. Platform-platform seperti XinBi, JinBei/JinBo, DaLi/TianCheng, Fulilai, dan LingHang kini beroperasi di wilayah gelap, terutama melayani industri abu-abu dan ilegal. Data dari Bitrace menunjukkan bahwa pendapatan platform XinBi telah melebihi 1,6 miliar USDT. Sementara itu, platform LingHang secara terbuka menyediakan layanan garansi untuk transaksi yang terkait dengan perdagangan manusia. JinBei, yang terkait erat dengan bisnis kasino, telah berganti nama menjadi JinBo. DaLi mewarisi banyak bisnis dari platform "Tudou" yang sebelumnya terkait dengan Huiwang. Adapun Fulilai terkait dengan kelompok kriminal keluarga Liu di Myanmar Utara. Meskipun platform-platform ini sering dijuluki "Alipay Asia Tenggara", fungsi sebenarnya jauh dari itu. Seperti yang ditunjukkan dalam laporan Elliptic, pasar garansi Huiwang telah menangani lebih dari 310 miliar dolar AS, menjadikannya pasar ilegal online terbesar yang pernah ada, yang terutama melayani pencucian uang, penipuan, perjudian, dan perdagangan manusia. Kebangkitan platform-platform baru ini mencerminkan ekosistem keuangan bawah tanah yang terus beradaptasi dan berkembang di Asia Tenggara, menunggu tindakan penegakan hukum lebih lanjut.

Odaily星球日报57m yang lalu

7 Bulan Setelah Runtuhnya Huiwang, Lanskap Platform Jaminan Asia Tenggara Menghadapi Reshuffle Besar

Odaily星球日报57m yang lalu

Cahaya Tak Semenarik Dulu: Apa yang Sedang Dialami oleh VC Kripto?

Krisis Dana Ventura Kripto Khusus: Pergeseran Menuju Infrastruktur dan Masa Depan yang Terpolarisasi Dana ventura khusus kripto, seperti Paradigm yang baru saja mengalihkan fokus ke AI dan robotika, sedang menghadapi tantangan eksistensial. Artikel ini membahas apakah dana semacam ini sedang menuju kepunahan, dengan menarik paralel dari siklus hidup dana khusus sebelumnya di sektor energi bersih dan SPAC. Inti masalahnya adalah runtuhnya *information advantage* (keunggulan informasi) yang dulunya dimiliki dana khusus. Saat teknologi kripto matang dan diadopsi raksasa tradisional seperti Stripe dan BlackRock, pengetahuan mendalam tentang MEV atau ekonomi validator tidak lagi menjadi penghalang masuk. Dana generalis besar (seperti a16z, Sequoia) kini dapat menilai proyek kripto dengan logika yang sama seperti fintech biasa. Industri ventura mengalami polarisasi "barbell": di satu ujung, platform besar multifokus; di ujung lain, dana kecil niche yang bisa bertahan dengan satu "home run". Dana khusus kripto ukuran menengah terjepit di "zona kematian", karena ukurannya terlalu besar untuk bergantung pada investasi seed kecil, namun terlalu kecil untuk bersaing di putaran growth. Ini memaksa banyak dana, seperti Framework Ventures, untuk melebarkan mandat investasi. Bahkan dana yang tetap berlabel "kripto" seperti Dragonfly dan a16z kini mendefinisikan ulang fokus mereka terutama pada infrastruktur keuangan berbasis blockchain (stablecoin, pasar prediksi), yang juga diminati dana generalis. Perubahan ini didorong oleh tekanan dari Limited Partner (LP) yang haus akan hasil di tengah kinerja buruk portofolio kripto mereka, dan teralihkan oleh daya tarik AI yang menyedot 70% modal ventura. Implikasi bagi startup kripto adalah tantangan baru: bersaing dengan proyek AI untuk mendapatkan perhatian di dana generalis, dan kehilangan sponsor jangka panjang untuk riset infrastruktur dasar yang kurang komersial (seperti yang pernah didanai Paradigm). Kesimpulannya, "dana ventura kripto" sebagai kategori mandiri mungkin akan usang, mirip dengan "dana internet". Kripto berevolusi menjadi infrastruktur dasar. Masa depan akan mengikuti pola barbell: dana besar multifokus mendanai pertumbuhan, sementara dana kecil khusus akan muncul untuk niche eksperimental baru (seperti tokenisasi). Dana ukuran menengah yang hanya fokus pada kripto akan menghadapi kesulitan bertahan.

Foresight News1j yang lalu

Cahaya Tak Semenarik Dulu: Apa yang Sedang Dialami oleh VC Kripto?

Foresight News1j yang lalu

Ketika Konsensus Semakin Cepat, Apa yang Ditaruhkan oleh Investor Muda?

Dengan kemajuan teknologi yang semakin cepat, terutama di bidang AI, robotika, dirgantara, dan komputasi kuantum, para investor muda berhadapan dengan perubahan logika investasi. Mereka tidak lagi cukup mengandalkan model keuangan dan pengalaman industri lama, tetapi juga harus memahami bahasa teknologi, menerima rute yang belum konvergen, dan membuat keputusan sebelum konsensus terbentuk. WAIC merilis daftar "Alpha Youth Investment Leaders," yang mencerminkan beberapa tren utama dalam investasi teknologi saat ini. Tren pertama adalah pergeseran AI dari layar ke dunia fisik. Perhatian kini beralih ke perangkat ujung, robot, mobil, sistem industri, dan infrastruktur luar angkasa. Meskipun robot humanoid dan kecerdasan emboddied menarik perhatian, fokus utama adalah kemampuan pengiriman dan ROI yang nyata, bukan hanya demonstrasi yang mengesankan. Kecerdasan ujung menjadi kunci, dengan perangkat keras AI yang membangun hubungan data dan layanan berkelanjutan dengan pengguna. Tren kedua adalah beralihnya fokus kompetisi dari model dasar ke "roda terbang cerdas." Manfaat model besar belum sepenuhnya terealisasi dalam merekonstruksi produktivitas. Nilai jangka panjang terletak pada perusahaan yang dapat mengintegrasikan kemampuan model ke dalam alur kerja nyata, membentuk siklus tertutup data, pelatihan, dan umpan balik pengguna yang saling memperkuat (roda terbang cerdas). Ini menciptakan nilai yang bertahan melampaui sekadar pembaruan model. Tren ketiga adalah munculnya teknologi dasar baru untuk mengatasi hambatan data. Ketika data manusia yang berkualitas tinggi menjadi langka, pembelajaran penguatan, permainan mandiri, dan model dasar ilmiah menjadi arah yang diperhatikan. Model-model ini bertujuan untuk membangun kemampuan yang lebih mendasar dan universal dalam bidang seperti ilmu kehidupan dan material, menggunakan data dan umpan balik eksperimen khusus untuk mendorong pertumbuhan kemampuan AI selanjutnya. Tren keempat adalah perlunya modal yang sabar untuk teknologi keras. Di bidang seperti dirgantara komersial, komputasi kuantum, dan energi canggih, siklus validasi lebih panjang dan penuh ketidakpastian teknis. Investasi di bidang ini memerlukan pemahaman awal tentang kemampuan teknik dan ketahanan tim, dengan harapan pengembalian dalam skala waktu yang lebih panjang, sambil mendorong perkembangan industri dan akumulasi kemampuan dasar. Peran investor muda adalah memahami teknologi lebih awal, masuk lebih dalam ke industri, dan membuat pilihan jangka panjang di tengah ketidakpastian.

marsbit1j yang lalu

Ketika Konsensus Semakin Cepat, Apa yang Ditaruhkan oleh Investor Muda?

marsbit1j yang lalu

Trading

Spot
活动图片

Kategori Populerright-arrow

Tag Populerright-arrow