Peringatan Keamanan Kritikal: Kode Berbahaya Ditemukan dalam Bot Perdagangan Polymarket yang Berpotensi Membahayakan Kunci Pribadi Anda

Para ahli keamanan telah mengeluarkan peringatan tentang ancaman berbahaya yang mengintai di alat perdagangan otomatis. Seorang pengembang menyembunyikan kode berbahaya di dalam bot trading salinan Polymarket, menciptakan serangan canggih yang menargetkan aset digital paling sensitif pengguna. Ketika pengguna menjalankan aplikasi tersebut, secara diam-diam bot ini mengekstrak file “.env”—file konfigurasi yang umum digunakan untuk menyimpan kunci pribadi dompet—dan mengirim data ini langsung ke server yang dikendalikan oleh penyerang.

Serangan: Ancaman Tersembunyi di Alat Perdagangan Anda

Pelaku menggunakan teknik pengembangan yang menipu, secara strategis menyusun dan berulang kali memodifikasi commit kode di GitHub untuk menyembunyikan payload berbahaya. Obfuscation ini menunjukkan tingkat kecanggihan pelaku dalam menghindari deteksi selama proses review kode. File “.env”, yang penting untuk menyimpan kredensial kriptografi, menjadi aset utama setelah bot mendapatkan akses ke sana. Pencurian kunci pribadi merupakan salah satu kompromi paling merusak dalam cryptocurrency, memungkinkan pengambilalihan akun secara penuh dan pencurian dana.

SlowMist CISO Menyoroti Pola Eksploitasi yang Meningkat

Pada akhir Desember 2025, Chief Information Security Officer dari SlowMist Technology, 23pds, membagikan peringatan penting ini kepada komunitas keamanan melalui sebuah posting yang di-retweet. Peringatan tersebut menekankan bahwa kode berbahaya tersembunyi di repositori pengembangan semakin menjadi vektor serangan yang umum. “Ini bukan kali pertama eksploitasi seperti ini terjadi, dan ini tidak akan menjadi yang terakhir,” kata 23pds, menegaskan sifat siklik dari kerentanan khusus ini.

Melindungi Diri Anda: Langkah Penting Menghadapi Ancaman Kode Berbahaya

Pengguna harus meningkatkan kewaspadaan saat mengunduh aplikasi perdagangan pihak ketiga. Verifikasi keaslian sumber, tinjau repositori kode untuk pola yang mencurigakan, dan jangan pernah mengunduh alat dari pengembang yang tidak terverifikasi. Untuk operasi sensitif yang melibatkan kunci pribadi, pertimbangkan menggunakan dompet perangkat keras atau sistem yang terisolasi secara fisik yang tidak pernah mengekspos kredensial secara online. Audit keamanan secara rutin terhadap file konfigurasi lingkungan pengembangan Anda tetap penting dalam lanskap ancaman ini.