Xaman wallet dengan cepat melakukan audit dan mengonfirmasi keamanan pengguna setelah serangan supply-chain pada ekosistem NPM menyuntikkan malware yang menargetkan dompet kripto. Respons cepat Xaman dan peringatan kepada komunitas mengurangi risiko paparan; pengguna disarankan untuk memverifikasi integritas paket dan menghentikan sementara tindakan on-chain yang berisiko jika tidak memiliki perangkat keras untuk penandatanganan.
-
Xaman menyelesaikan audit langsung dan tidak menemukan kompromi pada wallet-nya.
-
Paket NPM berbahaya menargetkan dompet browser dengan diam-diam menukar alamat penerima.
-
Tokoh industri termasuk David Schwartz dan Charles Guillemet mendesak kewaspadaan; audit dan penandatanganan perangkat keras mengurangi risiko.
Serangan supply chain pada Xaman wallet NPM: Xaman dengan cepat mengaudit aplikasinya setelah malware NPM menargetkan dompet kripto; pelajari langkah-langkah untuk memverifikasi paket dan lindungi dana Anda sekarang.
Apa yang terjadi dalam serangan supply chain Xaman wallet NPM?
Serangan supply chain Xaman wallet NPM melibatkan akun pengembang NPM yang dikompromikan sehingga memungkinkan kode berbahaya menyebar ke paket JavaScript yang banyak digunakan. Paket berbahaya ini mencoba menargetkan dompet kripto berbasis browser dengan mengganti atau mengalihkan alamat penerima, sehingga membahayakan pengguna yang mengandalkan paket yang tidak diverifikasi atau transaksi yang tidak ditandatangani.
Bagaimana Xaman merespons insiden supply chain ini?
Tim Xaman segera melakukan audit internal dan mengeluarkan peringatan publik kepada pengguna. Tinjauan mereka tidak menemukan bukti kompromi pada klien Xaman, dan mereka memberikan saran langkah verifikasi kepada pengguna. David Schwartz (CTO, Ripple) secara terbuka memuji reaksi cepat dan komunikasi transparan Xaman.
Mengapa serangan supply chain NPM menargetkan dompet kripto?
Penyerang memanfaatkan model kepercayaan dari pengelola paket: perubahan kecil pada paket tepercaya dapat didistribusikan secara luas dan dijalankan di lingkungan pengguna. Malware yang berfokus pada dompet kripto mengotomatiskan penukaran alamat atau manipulasi clipboard untuk mengalihkan dana ke alamat penyerang, terutama memengaruhi pengguna yang kurang berpengalaman.
Bagaimana pengguna harus melindungi dana setelah kompromi supply chain?
Ikuti langkah verifikasi dan perlindungan segera: hentikan sementara transaksi on-chain yang tidak penting jika Anda tidak memiliki penandatanganan perangkat keras yang jelas; verifikasi checksum paket dan pastikan perangkat lunak selalu terbaru; gunakan dompet perangkat keras dengan alur penandatanganan eksplisit untuk transfer besar.
David Schwartz, chief technology officer di Ripple, memuji Xaman atas penanganan cepat insiden ini. Akun NPM milik pengembang terkemuka telah dikompromikan, dan beberapa paket JavaScript ditemukan mengandung kode berbahaya yang menargetkan dompet browser.
Malware tersebut secara khusus menargetkan dompet kripto populer dengan mencegat atau menukar alamat penerima untuk mengalihkan dana. Teknik ini menyasar pengguna yang tidak memverifikasi detail transaksi atau yang mengandalkan prompt browser yang tidak ditandatangani.
Seperti dilaporkan oleh COINOTAG, CTO Ledger Charles Guillemet merekomendasikan agar pengguna yang tidak memiliki dompet perangkat keras dengan penandatanganan eksplisit di perangkat untuk sementara menghindari transaksi on-chain sampai integritas paket dikonfirmasi.
Apa hasil audit Xaman?
Tim Xaman melakukan audit keamanan secara cepat dan mengonfirmasi bahwa rilis resmi Xaman tidak dikompromikan. Tim wallet juga mempublikasikan langkah verifikasi yang direkomendasikan dan mendesak pengguna untuk memperbarui hanya melalui saluran resmi serta memvalidasi tanda tangan paket jika tersedia.
Co-founder XRPL Labs, Wietse Wind, mencatat bahwa serangan supply chain semakin sering terjadi, menyoroti perlunya penandatanganan paket yang lebih kuat dan kebersihan dependensi di seluruh ekosistem JavaScript.
Bagaimana pengembang dan pengguna dapat memverifikasi paket?
Pengembang harus mengadopsi build yang dapat direproduksi, tanda tangan digital, dan lockfile. Pengguna harus memverifikasi checksum, memilih rilis yang ditandatangani, dan menghindari menginstal paket yang belum diverifikasi. Audit dependensi secara rutin dan penggunaan paket pihak ketiga seminimal mungkin dapat mengurangi risiko paparan.
Pertanyaan yang Sering Diajukan
Apakah wallet Xaman benar-benar dikompromikan?
Audit cepat Xaman tidak menemukan tanda-tanda kompromi pada build wallet resmi. Insiden ini melibatkan paket NPM yang terinfeksi dari akun pengembang yang dikompromikan; rilis Xaman tetap aman setelah diverifikasi.
Haruskah saya berhenti melakukan transaksi on-chain sekarang?
CTO Ledger Charles Guillemet menyarankan agar pengguna yang tidak memiliki dompet perangkat keras dengan dukungan penandatanganan eksplisit di perangkat mempertimbangkan untuk menghentikan transaksi on-chain sampai integritas paket dikonfirmasi. Prioritaskan penandatanganan perangkat keras untuk transfer bernilai tinggi.
Bagaimana Anda dapat mengamankan wallet setelah serangan supply chain? (Langkah demi langkah)
Ikuti langkah-langkah praktis dan terprioritaskan berikut untuk mengurangi risiko dan memverifikasi integritas klien.
- Hentikan transaksi on-chain jika Anda tidak memiliki penandatanganan perangkat keras untuk transfer penting.
- Verifikasi checksum atau tanda tangan build wallet dengan catatan rilis resmi dari penerbit.
- Perbarui wallet hanya dari saluran resmi dan instal ulang dari binary yang sudah diverifikasi jika ragu.
- Gunakan dompet perangkat keras dengan penandatanganan eksplisit di perangkat untuk semua transaksi signifikan.
- Audit dependensi yang terinstal dan hapus paket yang tidak digunakan atau tidak tepercaya.
Poin Penting
- Audit langsung sangat penting: Audit cepat Xaman membatasi paparan pengguna dan memperjelas keamanan.
- Risiko supply chain nyata: Paket NPM berbahaya dapat diam-diam menargetkan alur wallet dan kolom alamat.
- Tindakan perlindungan: Verifikasi tanda tangan, gunakan dompet perangkat keras, dan pilih rilis yang ditandatangani untuk operasi kripto.
Kesimpulan
Serangan supply chain Xaman wallet NPM menyoroti ancaman yang semakin meningkat dari malware tingkat dependensi di ekosistem JavaScript. Xaman melakukan audit cepat dan pemberitahuan kepada komunitas yang mengurangi ketidakpastian, sementara para ahli seperti David Schwartz dan Charles Guillemet mendesak kehati-hatian. Pengguna harus memverifikasi build, mengadopsi penandatanganan perangkat keras, dan mengikuti panduan resmi dari tim wallet untuk melindungi dana.
Diterbitkan oleh COINOTAG pada 2025-09-08. Terakhir diperbarui 2025-09-08.
