Peretas memperoleh akses ke akun pengembang yang merawat seperangkat alat perangkat lunak populer keyv — yang digunakan oleh jutaan pemrogram di seluruh dunia. Melalui akses ini, pelaku kejahatan menyisipkan virus ke dalam versi baru alat-alat tersebut, seperti dilaporkan oleh spesialis keamanan siber Aikido Security. Serangan dimulai pada 4 Agustus 2026 dan menjadi salah satu yang terbesar dalam beberapa tahun terakhir — ratusan paket perangkat lunak yang digunakan lebih dari 2 miliar kali per bulan terancam.
Bagaimana Komputer Terinfeksi
Semua pemrogram menggunakan repositori khusus untuk kode siap pakai — semacam perpustakaan tempat mereka dapat mengunduh solusi jadi daripada menuliskannya dari nol. Untuk JavaScript, repositori semacam itu disebut npm, dan perintah untuk mengunduhnya adalah npm install.
Peretas menyembunyikan satu baris kode dalam pembaruan perpustakaan yang memulai pengunduhan virus secara otomatis — segera setelah pemrogram memasukkan perintah instalasi biasa. Tidak ada tindakan mencurigakan yang perlu dilakukan: infeksi terjadi dengan sendirinya, sebagai bagian dari pekerjaan rutin.
Apa yang Dicari Virus di Komputer yang Terinfeksi
Setelah masuk ke komputer, program berbahaya mulai mencari segala hal yang paling berharga:
- kata sandi dan kode akses ke repositori perangkat lunak (npm)
- kode akses ke akun di GitHub — layanan untuk menyimpan kode program
- data untuk masuk ke layanan cloud Amazon (AWS)
- kunci rahasia untuk infrastruktur server perusahaan
- kunci untuk akses jarak jauh ke server (SSH)
- file dengan kata sandi tersimpan (program KeePass)
- pengaturan program populer untuk menulis kode, termasuk Claude, VS Code, dan lainnya
- file dompet kripto — termasuk dompet untuk Solana dan Monero
- frasa benih (seed phrases) dan kunci privat
Semua yang ditemukan, virus mengenkripsinya dan mengirimkannya ke peretas: sebagian data diunggah ke repositori terbuka di GitHub dengan nama yang berbicara sendiri "Shai-Hulud: Kembali Lagi", sebagian — ke server khusus, yang alamatnya diperoleh virus melalui kontrak pintar di jaringan Ethereum, membuatnya lebih sulit diblokir.
Virus Bereproduksi Sendiri
Yang paling berbahaya — virus tidak berhenti pada satu perpustakaan. Dengan menggunakan kata sandi yang dicuri, ia secara mandiri menginfeksi alat populer lainnya: merilis "pembaruan" baru atas nama pengembang asli, menambahkan baris kode berbahaya yang sama, dan kemudian mempublikasikannya untuk akses umum. Secara bersamaan, virus bersembunyi lebih dalam di sistem, sehingga lebih sulit untuk dihapus sepenuhnya.
Berapa Banyak Program yang Sudah Terinfeksi
Menurut data Aikido Security per 5 Agustus 2026, minimal 444 paket perangkat lunak (1.381 versi) telah terinfeksi. Dalam laporan perusahaan Orca Security, angka yang disebutkan sekitar 868 paket. Di antaranya — beberapa alat yang digunakan oleh puluhan ribu pengembang lain di seluruh dunia untuk mempercepat dan menyederhanakan penulisan kode.
Mengapa Ini Sangat Berbahaya bagi Industri Kripto
Jika virus masuk ke komputer pengembang yang bekerja dengan proyek kripto, konsekuensinya bisa jauh lebih serius daripada kebocoran kata sandi biasa. Melalui komputer yang terinfeksi, peretas mendapatkan akses ke frasa rahasia dari dompet, kunci ke bursa, akun di GitHub, dan server perusahaan, seperti yang dijelaskan oleh Orca Security. Selanjutnya — hanya soal teknis: akses ke kode proyek, akses ke server, dan kemudian peretasan penuh. Inilah cara banyak pencurian kripto besar dimulai dalam beberapa tahun terakhir.
Kisah ini menunjukkan bahwa seseorang dapat terinfeksi bahkan dengan tindakan paling biasa — sekadar menginstal alat yang diperlukan untuk bekerja. Bagi tim yang menangani kripto dan dompet, ini adalah alasan tambahan untuk memeriksa dengan cermat program apa yang mereka gunakan, dan memperbaruinya tepat waktu setelah masalah diperbaiki.
Pendapat AI
Dari sudut pandang analisis data mesin, insiden saat ini — bukan kasus tunggal, melainkan gelombang ketiga dari kampanye yang sama: cacing Shai-Hulud pertama kali diidentifikasi pada September 2025, setelah itu pada November menyusul gelombang kedua "Shai-Hulud 2.0", yang mempengaruhi lebih dari 25 ribu repositori. Keteraturan seperti itu dalam waktu kurang dari satu tahun menunjukkan masalah sistemik kepercayaan di dalam ekosistem npm, dan bukan kesalahan satu kali dari seorang pengembang.
end-content
