Peringatan Keamanan: Bot berbahaya di GitHub mencuri kunci pribadi pengguna

Sebuah insiden serius telah mengancam pengembang di GitHub. Diketahui bahwa sebuah bot yang menyamar sebagai pengikut yang sah telah menyusupkan kode berbahaya ke dalam proyek-proyek, dengan tujuan mencuri kunci pribadi dari dompet pengguna. Peringatan keamanan ini memerlukan perhatian segera dari siapa saja yang bekerja dengan cryptocurrency.

Bagaimana cara kerja serangan bot berbahaya?

Proyek yang bernama polymarket-copy-trading-bot telah dikompromikan dengan kode berbahaya yang beroperasi secara diam-diam. Saat program dijalankan, bot ini secara otomatis menemukan dan membaca kunci pribadi dari dompet pengguna yang disimpan di file konfigurasi .env. Setelah mendapatkan informasi sensitif ini, bot mengirimkannya melalui dependensi tersembunyi ke server yang dikendalikan oleh penyerang.

Mekanisme ini sangat berbahaya karena pengguna mungkin tidak langsung menyadari pencurian tersebut. Bot bekerja di latar belakang saat inisialisasi, mengekstraksi data penting tanpa menunjukkan tanda-tanda aktivitas berbahaya.

Risiko terhadap aset digital

Pencurian kunci pribadi merupakan ancaman eksistensial bagi dana kripto. Dengan akses ke kunci ini, penyerang dapat mentransfer seluruh aset yang tersimpan di dompet tanpa batasan. Kerugian bisa terjadi secara instan dan tidak dapat dibatalkan, karena transaksi di blockchain tidak bisa dibalik.

Langkah perlindungan mendesak

Setiap pengguna harus segera memeriksa repositori GitHub mereka dan memeriksa dependensi yang mencurigakan dalam proyek mereka. Disarankan untuk:

• Mengganti semua kunci pribadi yang pernah terekspos
• Memindahkan dana ke dompet yang aman jika ada kecurigaan kompromi
• Melakukan audit terhadap file .env dan dependensi paket secara rutin
• Menggunakan variabel lingkungan dengan izin terbatas
• Melakukan review kode sebelum menerapkan perubahan apa pun

Peringatan keamanan ini menegaskan pentingnya menjaga pengawasan terus-menerus di lingkungan pengembangan dan melindungi kredensial kriptografi secara ketat setiap saat.