Peretas Mengeksploitasi Pustaka JavaScript untuk Menanamkan Crypto Drainer

cointelegraphDipublikasikan tanggal 2025-12-15Terakhir diperbarui pada 2025-12-15

Abstrak

Menurut laporan dari organisasi keamanan siber Security Alliance (SEAL), terjadi peningkatan serangan peretas yang mengeksploitasi kerentanan (CVE-2025-55182) pada pustaka JavaScript React. Kerentanan ini memungkinkan penyerang menyisipkan kode berbahaya secara remote ke situs web yang sah, khususnya yang menggunakan React Server Components. Penyerang menggunakan teknik "crypto drainer" untuk menipu pengguna agar menandatangani transaksi palsu, sehingga dana di dompet kripto dapat dicuri. SEAL memperingatkan bahwa serangan ini tidak hanya menargetkan protokol Web3, tetapi semua situs web berisiko. Situs web yang tiba-tiba ditandai sebagai phishing didorong untuk memindai kode mereka, memeriksa aset mencurigakan, dan memastikan penerima transaksi benar. Tim React telah merilis perbaikan pada 3 Desember dan merekomendasikan pembaruan segera untuk react-server-dom-webpack dan modul terkait. Situs yang tidak menggunakan server atau React Server Components tidak terpengaruh.

Menurut organisasi keamanan siber nirlaba Security Alliance (SEAL), baru-baru ini terjadi peningkatan dalam crypto drainer yang diunggah ke situs web melalui kerentanan dalam pustaka JavaScript front-end sumber terbuka React.

React digunakan untuk membangun antarmuka pengguna, terutama dalam aplikasi web. Tim React mengungkapkan pada 3 Desember bahwa seorang peretas topi putih, Lachlan Davidson, menemukan kerentanan keamanan dalam perangkat lunaknya yang memungkinkan eksekusi kode jarak jauh tanpa otentikasi, yang dapat memungkinkan penyerang menyisipkan dan menjalankan kode mereka sendiri.

Menurut SEAL, pelaku jahat telah menggunakan kerentanan CVE-2025-55182 untuk secara diam-diam menambahkan kode wallet-draining ke situs web crypto.

"Kami mengamati peningkatan besar dalam drainer yang diunggah ke situs web crypto yang sah melalui eksploitasi CVE React baru-baru ini. Semua situs web harus meninjau kode front-end untuk aset mencurigakan apa pun SEKARANG," kata Tim SEAL.

"Serangan ini tidak hanya menargetkan protokol Web3! Semua situs web berisiko. Pengguna harus berhati-hati saat menandatangani tanda tangan IZIN APA PUN."

Wallet drainer biasanya menipu pengguna untuk menandatangani transaksi melalui metode seperti pop-up palsu yang menawarkan hadiah atau taktik serupa.

Situs web dengan peringatan phishing harus memeriksa kode

Menurut Tim SEAL, situs web yang terkena dampak mungkin tiba-tiba ditandai sebagai risiko phishing yang mungkin tanpa penjelasan. Mereka merekomendasikan host situs web untuk mengambil tindakan pencegahan untuk memastikan tidak ada drainer tersembunyi yang dapat membahayakan pengguna.

"Pindai host untuk CVE-2025-55182. Periksa apakah kode front-end Anda tiba-tiba memuat aset dari host yang tidak Anda kenali. Periksa apakah ada skrip yang dimuat oleh kode front end Anda yang merupakan JavaScript yang diobfuskasi. Periksa apakah dompet menunjukkan penerima yang benar pada permintaan penandatanganan tanda tangan," kata mereka.

Terkait: Peretasan crypto ‘Zoom palsu’ Korea Utara kini menjadi ancaman harian: SEAL

"Jika proyek Anda diblokir, itu mungkin alasannya. Harap tinjau kode Anda terlebih dahulu sebelum meminta penghapusan peringatan halaman phishing," tambah Tim SEAL.

React telah merilis perbaikan untuk kerentanan

Tim React menerbitkan perbaikan untuk CVE-2025-55182 pada 3 Desember dan menyarankan siapa pun yang menggunakan react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack, untuk segera meningkatkan dan menutup kerentanan.

"Jika kode React aplikasi Anda tidak menggunakan server, aplikasi Anda tidak terpengaruh oleh kerentanan ini. Jika aplikasi Anda tidak menggunakan kerangka kerja, bundler, atau plugin bundler yang mendukung React Server Components, aplikasi Anda tidak terpengaruh oleh kerentanan ini," tambah tim.

Majalah: Temuilah detektif crypto onchain yang memerangi kejahatan lebih baik daripada polisi

Pertanyaan Terkait

QApa yang dimaksud dengan kerentuhan CVE-2025-55182 yang disebutkan dalam artikel?

ACVE-2025-55182 adalah kerentanan keamanan dalam pustaka JavaScript open-source React yang memungkinkan eksekusi kode jarak jauh tanpa otentikasi, memungkinkan penyerang menyisipkan dan menjalankan kode berbahaya seperti crypto drainer.

QBagaimana cara peretas menggunakan kerentanan React untuk mencuri aset kripto?

APeretas memanfaatkan kerentanan tersebut untuk secara diam-diam menambahkan kode wallet-draining ke situs web kripto yang sah, yang kemudian menipu pengguna untuk menandatangani transaksi berbahaya melalui pop-up palsu atau taktik serupa.

QApa yang harus dilakukan pemilik situs jika tiba-tiba situs mereka ditandai sebagai risiko phishing?

APemilik situs harus memindai host untuk CVE-2025-55182, memeriksa kode front-end yang memuat aset dari host tidak dikenal, memverifikasi skrip yang tidak diobfuskasi, dan memastikan dompet menampilkan penerima yang benar sebelum meminta penghapusan peringatan phishing.

QApakah semua pengguna React terkena dampak kerentanan ini?

ATidak. Hanya aplikasi yang menggunakan react-server-dom-webpack, react-server-dom-parcel, atau react-server-dom-turbopack serta framework yang mendukung React Server Components yang berisiko. Aplikasi tanpa server atau tanpa dukungan komponen server tidak terpengaruh.

QKapan perbaikan untuk kerentanan React ini dirilis dan apa yang harus dilakukan pengguna?

ATim React merilis perbaikan pada 3 Desember. Pengguna yang menggunakan paket yang terdampak harus segera meningkatkan ke versi terbaru untuk menutup kerentanan tersebut.

Bacaan Terkait

Near Kembali ke Panggung AI: Transformasi ke Blockchain Publik karena "Kesulitan Gaji", Agen AI dan Privasi Jadi Kisah Pertumbuhan Baru

**Near Kembali ke Dunia AI: Dari Masalah Gaji Jadi Blockchain Publik, Fokus pada Agent dan Privasi** Near, yang didirikan oleh Illia Polosukhin (salah satu penulis makalah Transformer AI), awalnya adalah startup AI yang beralih membangun blockchain publik pada 2018. Penyebabnya adalah kesulitan membayar gaji developer global secara lintas batas menggunakan sistem pembayaran tradisional atau blockchain awal yang mahal dan lambat. Setelah melalui masa sebagai blockchain berkinerja tinggi dengan teknologi sharding dan meraih momentum di era *cross-chain*, Near kini kembali ke akar AI-nya. Momen kunci adalah ketika Polosukhin diundang oleh CEO Nvidia, Jensen Huang, pada Maret 2024, mengingatkan dunia tentang "darah AI" asli Near. Dengan fokus baru pada **Near Intents (Niat)** dan **Transaksi Privasi**, Near membidik pertumbuhan berikutnya: 1. **Near Intents**: Menyederhanakan pengalaman *cross-chain* dan DeFi. Pengguna atau AI Agent cukup menyatakan keinginan (misal, "tukar BTC jadi ETH"), dan jaringan *solver* akan menemukan rute terbaik. Mekanisme ini telah menangani **lebih dari $200 miliar** volume transaksi *cross-chain* dan menghasilkan **$34 juta** pendapatan biaya, dengan mayoritas (70%) datang dalam dua kuartal terakhir. 2. **Transaksi Privasi (*Confidential Swaps*)**: Menanggapi kebutuhan pasar akan privasi untuk menghindari MEV dan kebocoran strategi. Dalam 30 hari terakhir, transaksi privat menyumbang **41.63%** dari total volume transaksi di Near ($87 juta dari $209 juta). Fitur ini berpotensi menarik institusi tetapi juga membawa risiko perhatian regulator. Dengan kombinasi latar belakang pendiri di AI, infrastruktur *intent* yang ramah pengguna dan Agent, serta penawaran transaksi privat, Near berupaya membangun cerita pertumbuhan baru di persimpangan blockchain dan AI.

marsbit25m yang lalu

Near Kembali ke Panggung AI: Transformasi ke Blockchain Publik karena "Kesulitan Gaji", Agen AI dan Privasi Jadi Kisah Pertumbuhan Baru

marsbit25m yang lalu

Dari Ethereum ke "CROPS" AI: 'Variabel Lambat' yang Ditekankan Berulang oleh Vitalik Ini, Apa Sebenarnya?

Dalam beberapa kali kesempatan, Vitalik Buterin menekankan konsep "CROPS," singkatan dari Censorship Resistance (Tahan Sensor), Capture Resistance (Tahan Penangkapan), Open Source (Sumber Terbuka), Privacy (Privasi), dan Security (Keamanan). Konsep ini merupakan panduan inti bagi Ethereum Foundation, memfokuskan sumber dayanya untuk membangun kemampuan dasar yang memungkinkan pengguna mengelola aset, identitas, dan transaksi tanpa bergantung pada platform tunggal atau menyerahkan kendali akhir. Signifikansi CROPS semakin kritis dengan kemunculan AI, khususnya AI Agent yang menangani tugas seperti manajemen aset dan eksekusi transaksi otomatis. Tantangan utama adalah memastikan bahwa ketika AI bertindak sebagai perwakilan digital, ia tidak menjadi "kotak hitam" yang mengorbankan privasi, keamanan, dan kedaulatan pengguna. Oleh karena itu, diperlukan "CROPS AI" – AI yang dapat berjalan secara lokal, mengurangi ketergantungan pada layanan cloud terpusat, serta transparan dan terverifikasi. Terdapat titik temu antara "CROPS Ethereum Access Layer" dan "CROPS AI." Keduanya berusaha menjawab pertanyaan serupa: bagaimana pengguna dapat mengakses kemampuan jarak jauh (seperti RPC blockchain atau model bahasa besar/LLM) tanpa mengekspos informasi pribadi, identitas, atau niat mereka secara penuh? Solusi yang diusulkan termasuk penggunaan bukti tanpa pengetahuan (zero-knowledge proofs) untuk panggilan LLM berbayar yang privat dan pembacaan RPC Ethereum yang aman. Pada akhirnya, CROPS bukan sekadar konsep abstrak. Dalam era di mana AI semakin menguasai dunia digital, prinsip-prinsip ini akan membentuk arah pengembangan produk Web3, terutama di lapisan dompet digital, untuk memastikan pengguna tetap memegang kendali atas kehidupan digital mereka. Ini adalah variabel jangka panjang yang menentukan nilai Ethereum di masa depan.

marsbit35m yang lalu

Dari Ethereum ke "CROPS" AI: 'Variabel Lambat' yang Ditekankan Berulang oleh Vitalik Ini, Apa Sebenarnya?

marsbit35m yang lalu

Bug Zcash Bisa Membuat ZEC Tak Terbatas Tanpa Terdeteksi

Kerentanan kritis dalam kolam terlindung Orchard Zcash berpotensi memungkinkan penyerang membuat jumlah ZEC palsu tak terbatas tanpa terdeteksi, menurut pengungkapan dari Zooko Wilcox, Jason McGee, dan peneliti keamanan Taylor Hornby. Celah ini ditemukan pada 29 Mei dan diperbaiki melalui respons darurat yang diselesaikan pada 2 Juni. Hornby, yang dipekerjakan khusus untuk mencari kelemahan protokol, menemukan bug ini dengan bantuan model AI Opus 4.8. Eksploit lengkap berhasil diuji dalam lingkungan regtest lokal, menghasilkan ZEC palsu tak terbatas. Masalah teknisnya terletak pada elemen sirkuit Orchard yang kurang terkendala, memungkinkan input palsu dimasukkan. Celah ini ada sejak aktivasi Orchard pada Mei 2022 hingga perbaikan darurat pada Juni 2026. Sifat privasi Orchard menyulitkan pembuktian kriptografis apakah kerentanan pernah dieksploitasi. Untuk mengatasi ketidakpastian ini, Shielded Labs sedang mengeksplorasi peningkatan jaringan yang akan menyebarkan kolam terlindung baru dan menerapkan akuntansi "turnstile" pada koin dari kolam Orchard yang ada. Tujuannya adalah memungkinkan verifikasi integritas pasokan ZEC. Pelajaran utama adalah perlunya verifikasi formal pada sirkuit untuk mencegah kegagalan serupa di masa depan. Nilai ZEC turun hampir 45% dalam 24 jam terakhir menyusul pengungkapan ini.

bitcoinist45m yang lalu

Bug Zcash Bisa Membuat ZEC Tak Terbatas Tanpa Terdeteksi

bitcoinist45m yang lalu

"Bapak Godfather Venture Capital" Lembah Silikon Steve Hoffman: Web3 + AI Bisa Jadi Sebuah Jebakan

Stevie Hoffman, "Godfather of Silicon Valley Venture Capital", menyatakan bahwa integrasi Web3 dan AI bisa menjadi sebuah jebakan. Dalam wawancara, ia berbagi pandangannya tentang tren AI global dan peluang startup. Hoffman percaya Silicon Valley akan tetap memimpin riset dasar model AI canggih, sementara China akan unggul dalam implementasi aplikasi praktis dan dominasi di bidang robotika. Ia menekankan pentingnya pendekatan "Global from Day 1" untuk startup, karena adaptasi nanti jauh lebih sulit dan mahal. Mengenai Autonomous Agents, Hoffman memperkirakan titik balik nyata di mana agen dapat berkolaborasi secara mandiri akan datang dalam 2-4 tahun, yang akan menyebabkan penggantian tenaga kerja berskala besar. Solusinya adalah mendesain bisnis untuk kolaborasi manusia-AI, bukan otomatisasi penuh, serta reformasi sistem pelatihan ulang dan jaminan sosial. Untuk startup AI awal, saran Hoffman adalah fokus pada inovasi mendalam di ceruk vertikal spesifik yang membutuhkan keahlian domain, karena ini adalah benteng pertahanan terhadap raksasa teknologi. Kecepatan iterasi adalah parit pertahanan terpenting. Dalam menanggapi pertanyaan tentang Web3 + AI, Hoffman dengan tegas menyatakan bahwa bagi kebanyakan konsumen dan bisnis mainstream, Web3 menambah friksi dan kompleksitas tanpa menyelesaikan kebutuhan inti mereka. AI adalah teknologi dasar universal yang benar-benar mengubah industri. Memaksakan integrasi Web3 dan AI adalah sebuah jebakan yang menambah kompleksitas tanpa melipatgandakan nilai bagi pasar mainstream. Hoffman juga membagikan rencana nirlabanya untuk mendirikan pusat penelitian di universitas guna melatih calon pemimpin dalam inovasi AI yang bertanggung jawab dan selaras dengan nilai-nilai inti manusia.

marsbit1j yang lalu

"Bapak Godfather Venture Capital" Lembah Silikon Steve Hoffman: Web3 + AI Bisa Jadi Sebuah Jebakan

marsbit1j yang lalu

Token Tidak Ekonomis, Ekonomi Tidak Token

Dengan rencana IPO OpenAI dan investasi besar dari raksasa seperti Berkshire Hathaway di Alphabet, industri AI kini mencapai titik balik penting. Dua narasi utama mendominasi: "kekurangan dana" dan "pemisahan aset" (spin-off). Kekurangan dana terjadi karena struktur biaya AI yang unik. Berbeda dengan platform internet tradisional di mana biaya marjinal mendekati nol, model AI seperti ChatGPT justru meningkatkan biaya komputasi (inference cost) seiring pertumbuhan pengguna. Selain itu, pola investasi seperti "kredit cloud" yang digunakan Microsoft untuk mendanai OpenAI menciptakan "pencatatan sirkular", di mana uang yang sama dihitung sebagai pendapatan, menyamarkan tekanan arus kas yang sebenarnya. OpenAI, misalnya, diperkirakan baru akan profit pada 2029. Di sisi lain, tren spin-off aset AI oleh perusahaan besar (seperti Ke Ling dari Kuaishou dan Kunlunxin dari Baidu) mengungkap logika valuasi baru. Di dalam perusahaan induk, unit AI sering dianggap sebagai pusat biaya yang menekan margin. Namun, setelah dipisah, aset yang sama bisa mendapatkan valuasi 3x lipat lebih tinggi di pasar modal, karena dinilai berdasarkan kelangkaan, prospek pertumbuhan, dan potensi ceruk pasar sebagai "aset infrastruktur AI". Perubahan ini menandai pergeseran mendasar dari narasi yang didominasi teknologi menjadi efisiensi modal. Industri bergerak dari "kultus model" terkuat menuju "realisasi nilai" yang dapat dikomersialkan. Inti persaingan mulai bergeser dari perlombaan daya komputasi chip tunggal (GPU) menuju efisiensi sistemik menyeluruh, di mana CPU dan perangkat lunak orchestration menjadi krusial untuk profitabilitas. Singkatnya, tahun 2026 menjadi momen penentuan di mana industri AI harus menjawab pertanyaan mendasar: berapa sebenarnya nilai teknologi ini? Jawabannya akan membentuk lanskap kekuatan industri untuk dekade mendatang.

marsbit2j yang lalu

Token Tidak Ekonomis, Ekonomi Tidak Token

marsbit2j yang lalu

Trading

Spot

Futures

Artikel Populer

Cara Membeli BILL

Selamat datang di HTX.com! Kami telah membuat pembelian Billions Network (BILL) menjadi mudah dan nyaman. Ikuti panduan langkah demi langkah kami untuk memulai perjalanan kripto Anda.Langkah 1: Buat Akun HTX AndaGunakan alamat email atau nomor ponsel Anda untuk mendaftar akun gratis di HTX. Rasakan perjalanan pendaftaran yang mudah dan buka semua fitur.Dapatkan Akun SayaLangkah 2: Buka Beli Kripto, lalu Pilih Metode Pembayaran AndaKartu Kredit/Debit: Gunakan Visa atau Mastercard Anda untuk membeli Billions Network (BILL) secara instan.Saldo: Gunakan dana dari saldo akun HTX Anda untuk melakukan trading dengan lancar.Pihak Ketiga: Kami telah menambahkan metode pembayaran populer seperti Google Pay dan Apple Pay untuk meningkatkan kenyamanan.P2P: Lakukan trading langsung dengan pengguna lain di HTX.Over-the-Counter (OTC): Kami menawarkan layanan yang dibuat khusus dan kurs yang kompetitif bagi para trader.Langkah 3: Simpan Billions Network (BILL) AndaSetelah melakukan pembelian, simpan Billions Network (BILL) di akun HTX Anda. Selain itu, Anda dapat mengirimkannya ke tempat lain melalui transfer blockchain atau menggunakannya untuk memperdagangkan mata uang kripto lainnya.Langkah 4: Lakukan trading Billions Network (BILL)Lakukan trading Billions Network (BILL) dengan mudah di pasar spot HTX. Cukup akses akun Anda, pilih pasangan perdagangan, jalankan trading, lalu pantau secara real-time. Kami menawarkan pengalaman yang ramah pengguna baik untuk pemula maupun trader berpengalaman.

197 Total TayanganDipublikasikan pada 2026.05.07Diperbarui pada 2026.06.02

Apa Itu ATWO

I. Pengenalan ProyekArena Two adalah platform interaktif terdesentralisasi yang memungkinkan penggemar memainkan peran aktif yang ter-tokenisasi dalam hasil acara waktu nyata. Berbeda dengan model penyiaran tradisional yang mengurangi penggemar menjadi penonton pasif, Arena Two memanfaatkan teknologi blockchain untuk memungkinkan penggemar memberikan suara secara langsung dan mempengaruhi hasil di lapangan.II. Informasi TokenNama token: ATWO(Arena Two)III. Tautan TerkaitSitus web：https://arenatwo.com/Penjelajah：https://basescan.org/token/0x499D35eBE6cEe9B2Ac35Fd003fcBbeeB9CFc7B32Twitter：https://x.com/arenatwoXCatatan: Pengenalan proyek berasal dari materi yang diterbitkan atau disediakan oleh tim proyek resmi, yang hanya untuk referensi dan tidak merupakan saran investasi. HTX tidak bertanggung jawab atas kerugian langsung atau tidak langsung yang diakibatkan.

151 Total TayanganDipublikasikan pada 2026.05.18Diperbarui pada 2026.06.02

Cara Membeli ATWO

Selamat datang di HTX.com! Kami telah membuat pembelian Arena Two (ATWO) menjadi mudah dan nyaman. Ikuti panduan langkah demi langkah kami untuk memulai perjalanan kripto Anda.Langkah 1: Buat Akun HTX AndaGunakan alamat email atau nomor ponsel Anda untuk mendaftar akun gratis di HTX. Rasakan perjalanan pendaftaran yang mudah dan buka semua fitur.Dapatkan Akun SayaLangkah 2: Buka Beli Kripto, lalu Pilih Metode Pembayaran AndaKartu Kredit/Debit: Gunakan Visa atau Mastercard Anda untuk membeli Arena Two (ATWO) secara instan.Saldo: Gunakan dana dari saldo akun HTX Anda untuk melakukan trading dengan lancar.Pihak Ketiga: Kami telah menambahkan metode pembayaran populer seperti Google Pay dan Apple Pay untuk meningkatkan kenyamanan.P2P: Lakukan trading langsung dengan pengguna lain di HTX.Over-the-Counter (OTC): Kami menawarkan layanan yang dibuat khusus dan kurs yang kompetitif bagi para trader.Langkah 3: Simpan Arena Two (ATWO) AndaSetelah melakukan pembelian, simpan Arena Two (ATWO) di akun HTX Anda. Selain itu, Anda dapat mengirimkannya ke tempat lain melalui transfer blockchain atau menggunakannya untuk memperdagangkan mata uang kripto lainnya.Langkah 4: Lakukan trading Arena Two (ATWO)Lakukan trading Arena Two (ATWO) dengan mudah di pasar spot HTX. Cukup akses akun Anda, pilih pasangan perdagangan, jalankan trading, lalu pantau secara real-time. Kami menawarkan pengalaman yang ramah pengguna baik untuk pemula maupun trader berpengalaman.

133 Total TayanganDipublikasikan pada 2026.05.18Diperbarui pada 2026.06.02

Diskusi

Selamat datang di Komunitas HTX. Di sini, Anda bisa terus mendapatkan informasi terbaru tentang perkembangan platform terkini dan mendapatkan akses ke wawasan pasar profesional. Pendapat pengguna mengenai harga A (A) disajikan di bawah ini.