npm memperketat izin token untuk menghadapi serangan, pelaku keamanan Web3 mempertanyakan kecukupan tindakan tersebut
npm telah mulai memperketat akses token dengan izin tinggi sebagai respons terhadap serangan rantai pasokan "Mini Shai-Hulud" yang baru-baru ini mempengaruhi pengembang Web3. Platform telah mencabut granular access token dengan izin menulis dan meminta pengguna segera mengganti kunci, serta beralih ke mekanisme publikasi Trusted Publishing.
Platform Mulai Bertindak
Tujuan langsung dari penyesuaian ini adalah untuk menahan gelombang penyebaran terbaru program jahat tersebut. Penyerang sebelumnya memanfaatkan token dengan izin menulis untuk melewati verifikasi dua langkah, mempublikasikan paket perangkat lunak jahat atau mencemari versi paket yang sudah ada di registri npm.
Namun, beberapa peneliti keamanan berpendapat bahwa tindakan npm datang terlalu lambat dan terutama membatasi penyebaran selanjutnya tanpa menangani kode berbahaya yang sudah masuk ke perangkat pengembang.
Lingkungan yang Terinfeksi Masih Bisa Bocor Data
Para peneliti menunjukkan bahwa pencabutan token memang dapat mengurangi versi jahat baru terus dirilis, tetapi manfaatnya terbatas bagi lingkungan pengembangan yang sudah terinfeksi. Worm tersebut akan tertanam dalam konfigurasi IDE dan asisten AI, serta terus-menerus aktif setiap kali pengembang mengakses alat terkait.
Ini berarti meskipun pengembang menghapus file proyek atau membersihkan node_modules, skrip jahat tetap dapat kembali menginfeksi lingkungan dan terus mencuri informasi sensitif dalam operasi berikutnya.
Target Serangan Termasuk Kredensial Cloud dan Frasa Wallet
Deskripsi yang dipublikasikan menunjukkan bahwa program jahat ini tidak hanya mencuri kredensial pengembangan umum, namun juga mengumpulkan kredensial layanan awan AWS dan mnemonic wallet kripto yang bernilai tinggi. Data terkait kemudian dikirim melalui API resmi GitHub, membuat lalu lintas terlihat seperti aktivitas pengembangan normal dan meningkatkan kesulitan deteksi.
- Penyerang mengendalikan akun npm sah atool
- Menerbitkan 637 versi jahat dalam 27 menit
- Melibatkan 323 paket, unduhan mingguan sekitar 16 juta kali
Komunitas Keamanan Mengkritik Respons yang Pasif
Taylor Monahan, Kepala Peneliti Keamanan MetaMask, dan beberapa pihak lain mengkritik bahwa langkah platform saat ini lebih terlihat seperti mengkonfirmasi skala masalah daripada membersihkan infeksi itu sendiri. Peneliti lainnya juga menunjukkan bahwa hanya menutup akses tidak dapat menggantikan analisis dan pembersihan perilaku program jahat secara menyeluruh.
Bagi tim Web3, insiden ini sekali lagi menunjukkan rantai alat pengembangan telah menjadi pintu masuk berisiko tinggi. Khususnya setelah asisten AI pemrograman banyak digunakan dalam proses harian, jika lapisan konfigurasi terinfeksi skrip jahat, dampaknya bisa melampaui satu proyek saja.
Disclaimer: Konten pada artikel ini hanya merefleksikan opini penulis dan tidak mewakili platform ini dengan kapasitas apa pun. Artikel ini tidak dimaksudkan sebagai referensi untuk membuat keputusan investasi.
Kamu mungkin juga menyukai
Pengeluaran modal Samsung dan SK Hynix meningkat 35% pada paruh pertama tahun ini! Nvidia belum masuk lima besar pelanggan utama Samsung
Pada semester pertama tahun 2026, investasi fasilitas semikonduktor Samsung Electronics dan SK Hynix mencapai total 43,2 triliun won Korea, meningkat 35,1% dibandingkan tahun sebelumnya, dengan tingkat pemanfaatan kapasitas sebesar 100% untuk memenuhi permintaan memori AI yang tinggi. Dari sisi struktur pelanggan, proporsi pendapatan Nvidia di SK Hynix turun menjadi 13,35%, serta tidak masuk dalam lima pelanggan terbesar Samsung, mencerminkan permintaan memori AI yang kini beralih dari ketergantungan pada Nvidia ke arah yang lebih beragam dan tersebar. Fokus kompetisi pun bergeser ke produk generasi berikutnya dan kelompok pelanggan chip AI yang lebih luas.
Ekspektasi kenaikan suku bunga Federal Reserve melemah, dolar AS turun tiga kali berturut-turut ke level terendah sejak Mei, indeks mata uang pasar berkembang melonjak ke rekor tertinggi.
Dengan para pedagang mengurangi ekspektasi terhadap pengetatan kebijakan moneter oleh Federal Reserve, penurunan nilai dolar AS berlanjut dan mata uang pasar negara berkembang naik ke level tertinggi dalam sejarah.
Pengiriman di Selat Hormuz Hampir Terhenti! Energi Timur Tengah Mencari Jalan Keluar, Pemasok LNG Jarang Melakukan Transfer Kapal ke Kapal
Meskipun ketegangan antara Amerika Serikat dan Iran terkait Selat Hormuz sebagai jalur pelayaran penting masih berlangsung, para pemasok tetap berupaya memastikan bahan bakar dari wilayah Teluk Persia terus dikirim ke pasar global.
Seberapa agresif valuasi IPO Anthropic? Wall Street bertaruh: pendapatan akan melonjak menjadi 200 miliar dolar AS pada tahun 2028
Anthropic sedang mempersiapkan untuk go public. Wall Street menjadikan proyeksi pendapatan tahun 2028 sekitar 200 miliar dolar sebagai patokan utama penilaian, bukan kinerja saat ini. Pendapatan tahunan perusahaan tumbuh pesat, namun investasi besar dalam AI membuat laba masih jauh dari tercapai. Pasar menggunakan valuasi perusahaan pertumbuhan tinggi seperti Palantir dan SpaceX sebagai referensi, bertaruh bahwa di masa depan Anthropic dapat mencapai efek skala dan mengubahnya menjadi keuntungan. Namun, logika valuasi tinggi ini masih harus diuji oleh pasar.
Harga kripto
Lainnya
