2026-01-09 03:22:07

Belakangan ini terungkap sebuah kejadian yang sangat berbahaya—ada tiga paket berbahaya di npm yang mengaku sebagai perpustakaan Bitcoin (bitcoin-main-lib, bitcoin-lib-js, bip40), sebelum ditemukan dan dihapus sudah diunduh lebih dari 3400 kali. Terlihat angka ini tidak besar, tetapi konsekuensinya cukup menakutkan.

Trojan NodeCordRAT yang tertanam dalam paket-paket ini benar-benar seperti "perampok" aset digital, melakukan beberapa hal jahat berikut: langsung mencuri kredensial login Chrome, berbagai API Token, dan yang paling parah, mampu mencuri kunci pribadi dan seed phrase dari dompet MetaMask secara sekaligus. Jika pengembang yang terinfeksi menjalankan paket-paket ini, seluruh dompet mereka sama saja membuka pintu lebar-lebar bagi peretas.

Peristiwa ini kembali mengingatkan semua orang bahwa keamanan rantai pasokan paket npm tidak boleh diabaikan. Pengembang harus lebih berhati-hati saat menarik dependensi, sebaiknya memeriksa sumber dan ulasan paket yang tidak dikenal atau yang sering diperbarui secara tidak wajar. Selain itu, untuk alat kredensial berisiko tinggi seperti MetaMask dan Chrome, pemeriksaan pengaturan izin secara rutin dan pemasangan plugin secara hati-hati adalah langkah yang paling aman.

BTC0,06%

Lihat Asli

Halaman ini mungkin berisi konten pihak ketiga, yang disediakan untuk tujuan informasi saja (bukan pernyataan/jaminan) dan tidak boleh dianggap sebagai dukungan terhadap pandangannya oleh Gate, atau sebagai nasihat keuangan atau profesional. Lihat Penafian untuk detailnya.

11 Suka

Hadiah
11
5
Posting ulang
Bagikan

Komentar

0/400

NFTFreezer

· 01-09 03:50

Ini mah, lagi-lagi masalah buruk npm, sulit dicegah Lebih dari 3400 kali unduhan, membayangkannya saja sudah menakutkan... harus segera periksa paket-paket yang saya instal Astaga, bahkan kunci pribadi MetaMask bisa dicuri? Seberapa kejam itu npm benar-benar harus memperketat proses peninjauan, sekarang siapa saja bisa mengunggah Kali ini harus benar-benar periksa riwayat pengiriman paket dan jumlah unduhan, jangan sembarangan menginstal hal-hal yang tidak dikenal Serangan rantai pasokan kali ini benar-benar luar biasa, para pengembang harus lebih berhati-hati

Lihat AsliBalas0

FortuneTeller42

· 01-09 03:49

天哪，3400多次？这得有多少钱包在裸奔啊... --- npm sekarang pertahanan juga begitu rapuh? Tidak heran saya sekarang harus memeriksa semuanya sendiri --- Lagi-lagi mengaku sebagai pustaka terkenal, sudah lah, mulai sekarang harus cek checksum --- Saya cuma ingin tahu bagaimana keadaan orang yang sudah mengunduh 3400 kali ini, ada yang pernah kena pencurian? --- Kunci privat MetaMask langsung dicuri... ini lebih kejam dari social engineering, teman yang kena pasti akan menangis di toilet --- Kenapa setiap kali ada masalah baru ingat keamanan, benar-benar tidak tahan --- Inilah sebabnya saya tidak pernah percaya pada paket yang tidak dikenal, cukup lihat rating dan waktu pembaruan saja --- Pengingat keras, tapi jujur saja kebanyakan orang tetap saja sembarangan menginstal, buat apa tahu --- Bagaimana ekosistem nodejs bisa begitu banyak "palsu", pengelola harus sangat lelah --- Kalau tidak ada masalah, tidak belajar dari kesalahan, terus-menerus begitu ya

Lihat AsliBalas0

BlockchainTherapist

· 01-09 03:34

3400 kali unduhan tidak banyak tapi benar-benar mengerikan, berapa banyak dompet orang yang langsung meledak... --- npm ini benar-benar harus berhati-hati, siapa tahu paket mana yang menjadi perangkap madu --- Saya benar-benar takut jika kunci pribadi MetaMask dicuri, harus rutin melakukan audit --- Keamanan rantai pasokan di web3 ini belum pernah benar-benar diselesaikan, mengunduh paket seperti membuka kotak misteri --- Mengapa setiap kali seperti ini, pengembang terlalu ceroboh --- Nama bitcoin-main-lib ini terlalu licik, harus benar-benar periksa sumbernya --- Pencurian kredensial Chrome itu masih kecil, yang benar-benar berbahaya adalah MetaMask

Lihat AsliBalas0

NeonCollector

· 01-09 03:32

3400 kali unduhan? Benarkah, ini berarti berapa banyak orang yang tertular... Apakah pertahanan npm sekarang begitu longgar

Lihat AsliBalas0

TokenRationEater

· 01-09 03:30

3400 unduhan memang terdengar tidak banyak, tapi jika kena satu saja pun semua bisa hancur --- Ekosistem npm semakin keruh, masa kini paket apa saja berani diupload --- Saya ingin tahu bagaimana mereka berpikir, benar-benar percaya bisa mengecoh semua orang? --- MetaMask bisa mencuri private key, ini lebih brutal daripada langsung merampok --- Lagi-lagi masalah supply chain, developer harus belajar dari pengalaman ini --- 3400 developer itu terlalu percaya diri, paket asing sekalipun berani digunakan --- Jenis serangan ini benar-benar sulit dicegah, hanya bisa berhati-hati sendiri --- Sudah lama bilang mekanisme review npm tidak berfungsi, akhirnya terjadi juga --- Private key terbongkar sama saja dengan kehancuran sosial digital, ini perlu refleksi mendalam --- Terasa seperti keamanan web3 terus menerus berhadapan dengan krisis, tidak ada solusi mendasar

Lihat AsliBalas0