Peretasan NPM Guncang Ekosistem JavaScript, Wallet Kripto Jadi Target

Volubit.id — Serangan supply chain besar-besaran dilaporkan menimpa ekosistem JavaScript usai akun Node Package Manager (NPM) milik developer ternama bernama qix berhasil diretas.

Peretas menyusupkan malware ke dalam code package JavaScript dan saat ini telah diunduh lebih dari 1 miliar kali. Aksi peretasan tersebut berpotensi besar menimbulkan kerugian, sebab package itu banyak digunakan secara luas sebagai fondasi berbagai aplikasi, termasuk proyek-proyek Web3.

Chief Technology Officer (CTO) Ledger Charles Guillemet dalam sebuah unggahan di X mengatakan, malware ini bekerja dengan cara diam-diam mengganti alamat wallet kripto saat transaksi berlangsung untuk mencuri dana yang ada di dalamnya.

Ia menyarankan pengguna hardware wallet untuk selalu memeriksa detail setiap transaksi sebelum signing. Namun, menurutnya, mereka yang menggunakan hardware wallet dengan fitur clear signing akan aman dari serangan ini.

Sementara itu, pengguna software wallet disarankan untuk tidak dulu melakukan transaksi on-chain sebelum ada pernyataan resmi dari penyedia wallet. Ia mengatakan, saat ini masih belum jelas apakah peretas juga bisa mencuri seed phrase langsung dari software wallet.

“Kalau kamu tidak menggunakan hardware wallet, sebaiknya jangan dulu melakukan transaksi on-chain untuk sementara waktu,” tulisnya.

🚨 There’s a large-scale supply chain attack in progress: the NPM account of a reputable developer has been compromised. The affected packages have already been downloaded over 1 billion times, meaning the entire JavaScript ecosystem may be at risk.

The malicious payload works…

— Charles Guillemet (@P3b7_) September 8, 2025

Hacker diyakini menggunakan teknik crypto-clipper, yaitu malware yang menyelipkan alamat wallet palsu untuk mengalihkan dana saat pengguna bertransaksi. Mereka menargetkan semua aktivitas on-chain yang ada unsur input address, seperti send, swap, dan lainnya.

Dari hasil temuan platform intelligence kripto, Security Alliance (SEAL), hanya ada satu alamat wallet berbahaya yang aktif, yaitu 0xFc4a48. Serangan tersebut juga dilaporkan menargetkan wallet Ethereum dan Solana, meski semua jaringan berpotensi terdampak.

Dari sisi kerugian, menurut SEAL, awalnya hanya sekitar $0,05 dalam bentuk Ether (ETH) yang berhasil dicuri. Jumlah ini kemudian bertambah menjadi sekitar $20 dalam bentuk koin meme seperti Brett (BRETT), Andy (ANDY), Dork Lord (DORK), Ethervista (VISTA), dan Gondola (GONDOLA). Total hanya sebesar kurang dari $50 atau Rp800 ribu.

Meski angka kerugian masih kecil, potensi dampaknya tetap besar karena package yang disusupi, seperti chalk, strip-ansi, dan color-convert, dipakai luas di banyak proyek kripto. Bahkan developer yang tidak menginstalnya langsung bisa terdampak, karena package ini tertanam jauh di dalam dependency berbagai proyek.

Pengelola package dilaporkan sudah diberi tahu dan kini tengah bekerja sama dengan tim keamanan NPM untuk mengatasi masalah ini. Sebagian besar package berbahaya telah dihapus, namun developer tetap harus waspada karena malware bisa saja masih tersimpan dalam dependency atau lockfile proyek mereka.

Meski begitu, sejumlah platform besar telah memastikan sistem mereka aman. Ledger dan MetaMask menegaskan wallet kripto mereka tidak terdampak berkat sistem keamanan berlapis. Phantom Wallet dan Uniswap juga memastikan tidak menggunakan versi package yang terinfeksi, begitu pula dengan platform lain seperti Aerodrome, Blast, Blockstream Jade, dan Revoke.cash.

As a MetaMask user, you do not need to be scared of the supply chain attack that took place earlier today.

MetaMask has multiple layers of defense to protect our products and users:

– Basic Security: We lock our versions, don’t push directly to main, have manual and automated…

— MetaMask.eth 🦊 (@MetaMask) September 8, 2025

Pakar keamanan mengingatkan pengguna untuk tetap berhati-hati. Menurut pendiri DeFiLlama, 0xngmi, serangan ini hanya bisa berhasil jika proyek kripto mengupdate kode setelah package terinfeksi dan pengguna secara sadar menyetujui transaksi berbahaya tersebut.

Meski risiko kerugian masih kecil, pengguna disarankan menunda transaksi mencurigakan hingga developer memastikan sistem mereka bersih dari kode berbahaya.

Explanation of the current npm hack

In any website that uses this hacked dependency, it gives a chance to the hacker to inject malicious code, so for example when you click a “swap” button on a website, the code might replace the tx sent to your wallet with a tx sending money to…

— 0xngmi (@0xngmi) September 8, 2025