Peretas Mengeksploitasi Pustaka JavaScript untuk Menanamkan Crypto Drainer

cointelegraphDipublikasikan tanggal 2025-12-15Terakhir diperbarui pada 2025-12-15

Abstrak

Menurut laporan dari organisasi keamanan siber Security Alliance (SEAL), terjadi peningkatan serangan peretas yang mengeksploitasi kerentanan (CVE-2025-55182) pada pustaka JavaScript React. Kerentanan ini memungkinkan penyerang menyisipkan kode berbahaya secara remote ke situs web yang sah, khususnya yang menggunakan React Server Components. Penyerang menggunakan teknik "crypto drainer" untuk menipu pengguna agar menandatangani transaksi palsu, sehingga dana di dompet kripto dapat dicuri. SEAL memperingatkan bahwa serangan ini tidak hanya menargetkan protokol Web3, tetapi semua situs web berisiko. Situs web yang tiba-tiba ditandai sebagai phishing didorong untuk memindai kode mereka, memeriksa aset mencurigakan, dan memastikan penerima transaksi benar. Tim React telah merilis perbaikan pada 3 Desember dan merekomendasikan pembaruan segera untuk react-server-dom-webpack dan modul terkait. Situs yang tidak menggunakan server atau React Server Components tidak terpengaruh.

Menurut organisasi keamanan siber nirlaba Security Alliance (SEAL), baru-baru ini terjadi peningkatan dalam crypto drainer yang diunggah ke situs web melalui kerentanan dalam pustaka JavaScript front-end sumber terbuka React.

React digunakan untuk membangun antarmuka pengguna, terutama dalam aplikasi web. Tim React mengungkapkan pada 3 Desember bahwa seorang peretas topi putih, Lachlan Davidson, menemukan kerentanan keamanan dalam perangkat lunaknya yang memungkinkan eksekusi kode jarak jauh tanpa otentikasi, yang dapat memungkinkan penyerang menyisipkan dan menjalankan kode mereka sendiri.

Menurut SEAL, pelaku jahat telah menggunakan kerentanan CVE-2025-55182 untuk secara diam-diam menambahkan kode wallet-draining ke situs web crypto.

"Kami mengamati peningkatan besar dalam drainer yang diunggah ke situs web crypto yang sah melalui eksploitasi CVE React baru-baru ini. Semua situs web harus meninjau kode front-end untuk aset mencurigakan apa pun SEKARANG," kata Tim SEAL.

"Serangan ini tidak hanya menargetkan protokol Web3! Semua situs web berisiko. Pengguna harus berhati-hati saat menandatangani tanda tangan IZIN APA PUN."

Wallet drainer biasanya menipu pengguna untuk menandatangani transaksi melalui metode seperti pop-up palsu yang menawarkan hadiah atau taktik serupa.

Sumber: Security Alliance

Situs web dengan peringatan phishing harus memeriksa kode

Menurut Tim SEAL, situs web yang terkena dampak mungkin tiba-tiba ditandai sebagai risiko phishing yang mungkin tanpa penjelasan. Mereka merekomendasikan host situs web untuk mengambil tindakan pencegahan untuk memastikan tidak ada drainer tersembunyi yang dapat membahayakan pengguna.

"Pindai host untuk CVE-2025-55182. Periksa apakah kode front-end Anda tiba-tiba memuat aset dari host yang tidak Anda kenali. Periksa apakah ada skrip yang dimuat oleh kode front end Anda yang merupakan JavaScript yang diobfuskasi. Periksa apakah dompet menunjukkan penerima yang benar pada permintaan penandatanganan tanda tangan," kata mereka.

Terkait: Peretasan crypto ‘Zoom palsu’ Korea Utara kini menjadi ancaman harian: SEAL

"Jika proyek Anda diblokir, itu mungkin alasannya. Harap tinjau kode Anda terlebih dahulu sebelum meminta penghapusan peringatan halaman phishing," tambah Tim SEAL.

React telah merilis perbaikan untuk kerentanan

Tim React menerbitkan perbaikan untuk CVE-2025-55182 pada 3 Desember dan menyarankan siapa pun yang menggunakan react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack, untuk segera meningkatkan dan menutup kerentanan.

"Jika kode React aplikasi Anda tidak menggunakan server, aplikasi Anda tidak terpengaruh oleh kerentanan ini. Jika aplikasi Anda tidak menggunakan kerangka kerja, bundler, atau plugin bundler yang mendukung React Server Components, aplikasi Anda tidak terpengaruh oleh kerentanan ini," tambah tim.

Majalah: Temuilah detektif crypto onchain yang memerangi kejahatan lebih baik daripada polisi

Pertanyaan Terkait

QApa yang dimaksud dengan kerentuhan CVE-2025-55182 yang disebutkan dalam artikel?

ACVE-2025-55182 adalah kerentanan keamanan dalam pustaka JavaScript open-source React yang memungkinkan eksekusi kode jarak jauh tanpa otentikasi, memungkinkan penyerang menyisipkan dan menjalankan kode berbahaya seperti crypto drainer.

QBagaimana cara peretas menggunakan kerentanan React untuk mencuri aset kripto?

APeretas memanfaatkan kerentanan tersebut untuk secara diam-diam menambahkan kode wallet-draining ke situs web kripto yang sah, yang kemudian menipu pengguna untuk menandatangani transaksi berbahaya melalui pop-up palsu atau taktik serupa.

QApa yang harus dilakukan pemilik situs jika tiba-tiba situs mereka ditandai sebagai risiko phishing?

APemilik situs harus memindai host untuk CVE-2025-55182, memeriksa kode front-end yang memuat aset dari host tidak dikenal, memverifikasi skrip yang tidak diobfuskasi, dan memastikan dompet menampilkan penerima yang benar sebelum meminta penghapusan peringatan phishing.

QApakah semua pengguna React terkena dampak kerentanan ini?

ATidak. Hanya aplikasi yang menggunakan react-server-dom-webpack, react-server-dom-parcel, atau react-server-dom-turbopack serta framework yang mendukung React Server Components yang berisiko. Aplikasi tanpa server atau tanpa dukungan komponen server tidak terpengaruh.

QKapan perbaikan untuk kerentanan React ini dirilis dan apa yang harus dilakukan pengguna?

ATim React merilis perbaikan pada 3 Desember. Pengguna yang menggunakan paket yang terdampak harus segera meningkatkan ke versi terbaru untuk menutup kerentanan tersebut.

Bacaan Terkait

Cara Menjadi Peneliti yang Baik: Melatih Kemampuan Sebenarnya yang Dapat 'Dilatih Secara Sengaja'

Tidak ada yang benar-benar mengajarimu cara melakukan penelitian. Kamu hanya mendapat meja kerja, masalah yang dipilih orang lain, dan instruksi samar untuk "menghasilkan sesuatu yang baru". Kebanyakan orang akhirnya belajar hanya bagaimana "terlihat" seperti peneliti, bukan menjadi peneliti yang sebenarnya. Kemampuan penelitian yang sesungguhnya adalah tumpukan keterampilan kecil yang hampir semuanya dapat dikembangkan melalui *deliberate practice*. **Pilihlah Masalahmu Sendiri:** Jangan hanya menyerap masalah dari mentor atau tren terkini. Ikuti metode John Schulman: pilih hasil yang benar-benar kamu inginkan, lalu rancang eksperimen untuk mencapainya. Ini menciptakan orisinalitas. "Selera" penelitian seperti otot; latihlah dengan memprediksi hasil eksperimen atau makalah sebelum melihat hasil aslinya, dan uji prediksimu dari waktu ke waktu. **Tingkatkan Input-mu:** Jika bacaanmu hanya dari arXiv atau grup diskusi tren, idemu akan sama dengan orang lain dan tidak berharga. Hargai sumber lama (misalnya, *The Bitter Lesson* dari Richard Sutton tahun 2019 atau pidato Claude Shannon tahun 1952). Kedalaman dan keluasan sama pentingnya. Pinjam pengetahuan dari bidang lain. Baca makalah asli, terutama bagian lampiran dan batasan, bukan sekadar ringkasannya. **Tuliskan Semuanya:** Seperti dikemukakan Paul Graham, sebuah ide baru terasa matang sampai kamu mencoba menuliskannya. Menulis adalah mekanisme pertahanan termurah untuk mengungkap celah dan asumsi yang tidak teruji. Terapkan prinsip Feynman: jangan menipu dirimu sendiri. Ikuti kebiasaan Darwin: catat segera fakta yang bertentangan dengan teorimu. Buatlah log eksperimen (hipotesis, pengaturan, prediksi, hasil, pemahaman baru). Membaca ulang catatanmu dari bulan lalu adalah pelajaran kerendahan hati yang paling efektif.

marsbit1j yang lalu

Cara Menjadi Peneliti yang Baik: Melatih Kemampuan Sebenarnya yang Dapat 'Dilatih Secara Sengaja'

marsbit1j yang lalu

Beralih Sepenuhnya ke Era AI, Alipay Bertaruh pada Percakapan, WeChat Mempertahankan Sosial

**Ringkasan: Era AI Penuh, Alipay Bertaruh pada Percakapan, WeChat Mempertahankan Sosial** Pada pertengahan 2026, Alipay dan WeChat, dua platform raksasa dengan miliaran pengguna, menunjukkan dua jalur berbeda dalam mengintegrasikan AI ke dalam layanan inti mereka. **Alipay: Menulis Ulang Antarmuka dengan Percakapan** Alipay sedang menguji versi AI radikal bernama "Proyek Bao". Alih-alih menambahkan asisten, pengguna dapat beralih ke antarmuka baru yang sepenuhnya digerakkan oleh percakapan. Tujuannya adalah mengompresi serangkaian tugas (misalnya memesan taksi dan kopi) menjadi satu perintah percakapan, di mana AI akan memahami maksud, memecah tugas, dan menjalankan layanan yang sesuai. Keputusan ini didasari oleh kegagalan aplikasi AI independen "Zhi Xiaobao" dan pertimbangan untuk memanfaatkan basis pengguna yang ada tanpa biaya migrasi. Untuk kompatibilitas dengan layanan yang belum diadaptasi, AI Alipay menggunakan teknik "membaca layar" untuk meniru klik pengguna, sambil mendorong pengembang untuk mengadopsi standar MCP/Skill. **WeChat: Menanamkan AI dalam Hubungan Sosial** Berbeda dengan Alipay, WeChat mengambil pendekatan yang sangat hati-hati. Menurut presiden Tencent, AI cerdas WeChat akan terintegrasi secara mendalam dengan hubungan sosial, kemampuan komunikasi, akun publik, dan Channels. AI akan beroperasi sebagai "agen" di dalam konteks yang ada (seperti obrolan grup), membantu pengguna tanpa menggantikan atau mengganggu antarmuka percakapan inti. Untuk memungkinkan AI mengoperasikan layanan mini-program, WeChat menawarkan dua mode kepada pengembang: "Mode Otomatis" (membutuhkan akses ke kode sumber mini-program) atau "Mode Pengembang" (membutuhkan pembungkusan ulang layanan ke dalam Skill standar). Pendekatan ini berpotensi memberatkan pengembang, terutama yang kecil. **Perbedaan Kunci & Dampaknya** * **Strategi Kompatibilitas:** Alipay mengandalkan "membaca layar" sebagai jembatan sementara, sementara WeChat meminta akses kode sumber atau upaya pengembangan ulang dari pengembang. * **Ekonomi Agen:** Alipay telah meluncurkan "Token Pay" dan "Dompet AI" untuk memfasilitasi pembayaran frekuensi tinggi dan otonom oleh AI, dengan lebih dari 300 juta transaksi AI yang divalidasi. WeChat belum mengungkapkan rencana serupa untuk pembayaran berbasis agen. * **Dampak Ekosistem:** Pendekatan Alipay dapat secara pasif "meng-AI-kan" banyak layanan panjang, mungkin memaksa adaptasi. Pendekatan WeChat berisiko meminggirkan pengembang kecil yang enggan atau tidak mampu memenuhi persyaratan akses kode sumber/pengembangan ulang. Pada akhirnya, kedua raksasa ini sedang memperebutkan kepercayaan pengguna untuk mendelegasikan tugas "bantu saya mengerjakan ini". Alipay menawarkan pintu masuk percakapan yang terpusat, sementara WeChat bertujuan untuk menyematkan bantuan AI ke dalam aliran sosial yang ada. Hasilnya akan ditentukan oleh bagaimana jutaan mini-program beradaptasi dan bagaimana miliaran pengguna akhirnya mengadopsi perintah "bantu saya" ini dalam kehidupan digital mereka.

marsbit1j yang lalu

Beralih Sepenuhnya ke Era AI, Alipay Bertaruh pada Percakapan, WeChat Mempertahankan Sosial

marsbit1j yang lalu

Trading

Spot
Futures

Artikel Populer

Apa Itu ATWO

I. Pengenalan ProyekArena Two adalah platform interaktif terdesentralisasi yang memungkinkan penggemar memainkan peran aktif yang ter-tokenisasi dalam hasil acara waktu nyata. Berbeda dengan model penyiaran tradisional yang mengurangi penggemar menjadi penonton pasif, Arena Two memanfaatkan teknologi blockchain untuk memungkinkan penggemar memberikan suara secara langsung dan mempengaruhi hasil di lapangan.II. Informasi TokenNama token: ATWO(Arena Two)III. Tautan TerkaitSitus web:https://arenatwo.com/Penjelajah:https://basescan.org/token/0x499D35eBE6cEe9B2Ac35Fd003fcBbeeB9CFc7B32Twitter:https://x.com/arenatwoXCatatan: Pengenalan proyek berasal dari materi yang diterbitkan atau disediakan oleh tim proyek resmi, yang hanya untuk referensi dan tidak merupakan saran investasi. HTX tidak bertanggung jawab atas kerugian langsung atau tidak langsung yang diakibatkan.

215 Total TayanganDipublikasikan pada 2026.05.18Diperbarui pada 2026.06.02

Apa Itu ATWO

Cara Membeli ATWO

Selamat datang di HTX.com! Kami telah membuat pembelian Arena Two (ATWO) menjadi mudah dan nyaman. Ikuti panduan langkah demi langkah kami untuk memulai perjalanan kripto Anda.Langkah 1: Buat Akun HTX AndaGunakan alamat email atau nomor ponsel Anda untuk mendaftar akun gratis di HTX. Rasakan perjalanan pendaftaran yang mudah dan buka semua fitur.Dapatkan Akun SayaLangkah 2: Buka Beli Kripto, lalu Pilih Metode Pembayaran AndaKartu Kredit/Debit: Gunakan Visa atau Mastercard Anda untuk membeli Arena Two (ATWO) secara instan.Saldo: Gunakan dana dari saldo akun HTX Anda untuk melakukan trading dengan lancar.Pihak Ketiga: Kami telah menambahkan metode pembayaran populer seperti Google Pay dan Apple Pay untuk meningkatkan kenyamanan.P2P: Lakukan trading langsung dengan pengguna lain di HTX.Over-the-Counter (OTC): Kami menawarkan layanan yang dibuat khusus dan kurs yang kompetitif bagi para trader.Langkah 3: Simpan Arena Two (ATWO) AndaSetelah melakukan pembelian, simpan Arena Two (ATWO) di akun HTX Anda. Selain itu, Anda dapat mengirimkannya ke tempat lain melalui transfer blockchain atau menggunakannya untuk memperdagangkan mata uang kripto lainnya.Langkah 4: Lakukan trading Arena Two (ATWO)Lakukan trading Arena Two (ATWO) dengan mudah di pasar spot HTX. Cukup akses akun Anda, pilih pasangan perdagangan, jalankan trading, lalu pantau secara real-time. Kami menawarkan pengalaman yang ramah pengguna baik untuk pemula maupun trader berpengalaman.

155 Total TayanganDipublikasikan pada 2026.05.18Diperbarui pada 2026.06.02

Cara Membeli ATWO

Apa Itu ZEST

I. Pengenalan Proyek1. Apa Itu Zest Protocol?Zest Protocol adalah protokol pinjaman yang berbasis Bitcoin yang dibangun di atas Stacks Layer 2 yang memungkinkan pengguna untuk mendapatkan imbal hasil dengan BTC atau meminjam aset dengan mengagunkan BTC. Kontrak pintar protokol ditulis dalam bahasa Clarity, beroperasi sepenuhnya di on-chain, dan bersifat open-source, dengan desain yang terinspirasi oleh Aave v3. Zest saat ini adalah protokol DeFi terbesar di Stacks, dengan lebih dari 800 BTC yang disetorkan dan puncak TVL melebihi $100 juta. Pada Mei 2026, protokol ini juga memperkenalkan Bitcoin Collateral Vaults, memperluas kemampuan peminjaman dari Stacks ke mainnet Bitcoin. Ini memungkinkan pengguna untuk meminjam stablecoin tanpa memindahkan BTC dari jaringan Bitcoin, memungkinkan peminjaman dengan penyimpanan sendiri.2. Bagaimana Cara Kerja Zest Protocol?Zest Protocol terdiri dari dua pasar. Pasar Stacks dibangun di atas Aave v3, memungkinkan pengguna untuk menyetorkan aset seperti sBTC, STX, dan USDC untuk mendapatkan imbal hasil atau mengambil pinjaman yang over-collateralized. LTV maksimum default adalah 50% (70% untuk sBTC). Pasar Bitcoin beroperasi melalui Bitcoin Collateral Vaults yang baru diluncurkan. Pengguna meminjam stablecoin dengan mengunci BTC di vault penyimpanan sendiri di rantai Bitcoin. Agunan tetap di mainnet Bitcoin sepanjang proses, dan pengguna mempertahankan kepemilikan kecuali posisi dilikuidasi.3. Siapa Pendiri Zest Protocol?Tycho Onnasch (Co-Founder): Lulusan dari Universitas Oxford. Terlibat dalam penelitian dan hibah untuk Stacks Open Internet Foundation. Mantan Manajer di Trust Machines dan Pendiri Deedmob. Profil LinkedIn: https://www.linkedin.com/in/tychokoonnasch/.Fernando Foy (Co-Founder): Sebelumnya bekerja di konsultasi TI di Objectif Emploi. Profil LinkedIn: https://www.linkedin.com/in/fernando-foy/.Emil E. (Co-Founder): Memegang gelar Magister dalam Fisika dari Universitas Warwick. Mantan Mitra Teknik di Trust Machines, Pengembang Full-Stack untuk proyek Web3, dan Data Scientist di HSBC. Profil LinkedIn: https://www.linkedin.com/in/emil-e-49771a145/.Rincian Pendanaan: Pada Mei 2024, Zest Protocol mengumumkan penyelesaian putaran pendanaan awal sebesar $3,5 juta yang dipimpin oleh Tim Draper, dengan partisipasi dari Binance Labs, Flow Traders, Trust Machines, dan lainnya.4. Tokenomi $ZEST$ZEST adalah token asli dari Zest Protocol dengan total pasokan tetap sebesar 1 miliar token dan tanpa mekanisme inflasi.Komunitas (27,83%): Digunakan untuk airdrop dan insentif pengguna;Pembangunan Ekosistem (24,82%): Digunakan untuk likuiditas, kemitraan, pemasaran, pencatatan bursa, dll.;Investor (22,35%): Mendukung pihak-pihak investasi yang mendukung pengembangan awal Zest Protocol;Tim (25%): Dialokasikan untuk kontributor inti.Jadwal Vesting: Token Tim dan Investor tunduk pada periode penguncian selama 1 tahun diikuti oleh 3 tahun pembukaan linear.5. Garis Waktu Tonggak Utama2022: Zest Protocol secara resmi didirikan.Maret 2024: Menyelesaikan audit keamanan dan meluncurkan pasar pinjaman Stacks di mainnet.Pada Februari 2026, Stacks Market V2 diluncurkan, memperkenalkan Grup Risiko.Pada Mei 2026, Bitcoin Collateral Vaults diperkenalkan, dan prototipe mainnet yang operasional kini tersedia. Ini memungkinkan pengguna untuk memanfaatkan BTC penyimpanan sendiri di Bitcoin L1 sebagai agunan untuk meminjam stablecoin di rantai EVM, mengakhiri bridging, wrapping, dan penyimpanan pihak ketiga. Peluncuran ini dibagi menjadi dua fase. Fase 1: Menggunakan transaksi yang telah ditandatangani sebelumnya untuk membatasi pergerakan BTC; Fase 2: Menggunakan BitVM untuk verifikasi. II. Informasi TokenNama token: ZEST (Zest Protocol)III. Tautan TerkaitSitus web: https://www.zestprotocol.com/Eksplorers: https://bscscan.com/token/0x5506599c722389a60580b5213ea1da60d64754a1Twitter: https://twitter.com/ZestProtocolCatatan: Pengenalan proyek berasal dari materi yang diterbitkan atau disediakan oleh tim proyek resmi, yang hanya untuk referensi dan tidak merupakan nasihat investasi. HTX tidak bertanggung jawab atas kerugian langsung atau tidak langsung yang diakibatkan.

174 Total TayanganDipublikasikan pada 2026.05.19Diperbarui pada 2026.06.02

Apa Itu ZEST

Diskusi

Selamat datang di Komunitas HTX. Di sini, Anda bisa terus mendapatkan informasi terbaru tentang perkembangan platform terkini dan mendapatkan akses ke wawasan pasar profesional. Pendapat pengguna mengenai harga A (A) disajikan di bawah ini.

活动图片