Dari 'Kode Merah' ke 'Nothingburger': Apakah Eksploitasi NPM Dilebih-lebihkan?

Sebuah ‘Nothingburger’ Dengan Panggilan Bangun

Laporan awal tentang serangan rantai pasokan Manajer Paket Node JavaScript (NPM) berskala besar memicu periode kepanikan singkat namun intens dalam komunitas kripto. Selama beberapa jam, para penyeru kiamat menyoroti peringatan tersebut, berspekulasi tentang pencurian dana pengguna secara luas. Pada saat itu, CTO Ledger, Charles Guillemet, menyarankan pengguna dompet perangkat lunak untuk menghentikan transaksi on-chain dan pengguna dompet perangkat keras untuk memeriksa ulang setiap transaksi.

Namun, seiring berjalannya waktu, besaran serangan tersebut menjadi lebih jelas. Terungkap bahwa kode berbahaya tersebut sangat terarah, dan jumlah aplikasi yang terpengaruh terbatas. Proyek-proyek terkemuka seperti Uniswap, Metamask, OKX Wallet, dan Aave semuanya merilis pernyataan yang mengonfirmasi bahwa mereka tidak terpengaruh.

Kurangnya kerusakan yang meluas dengan cepat mengubah kepanikan awal menjadi perdebatan. Beberapa pengguna kripto yang lega mulai mempertanyakan tingkat keparahan peringatan awal, dengan beberapa kini melihatnya sebagai alarmis dan bahkan mungkin serangan tidak langsung pada dompet perangkat lunak. Perspektif ini menyarankan bahwa peringatan tersebut, meskipun menyoroti kerentanan yang nyata, mungkin telah dibesar-besarkan untuk mempromosikan penggunaan dompet perangkat keras.

Sementara kerusakan dalam hal kripto yang dicuri telah membuat beberapa orang menyebut eksploitasi ini sebagai “nothingburger,” beberapa ahli keamanan blockchain bersikeras bahwa insiden ini seharusnya menjadi panggilan bangun bagi semua pengembang perangkat lunak. Para ahli ini sepakat bahwa insiden ini membenarkan model keamanan dompet perangkat keras, tetapi mereka juga memperingatkan bahwa pengguna dompet seperti itu masih bisa kehilangan dana karena serangan serupa dalam keadaan tertentu.

Augusto Teixeira, salah satu pendiri di Cartesi, mengilustrasikan poin ini, dengan mengatakan, “Bahkan pengguna dompet perangkat keras bisa terpengaruh oleh serangan semacam itu. Misalnya, beberapa orang menggunakan dompet perangkat keras mereka dengan bantuan Metamask, tanpa memverifikasi data di layar perangkatnya. Ini menjadi lebih umum karena transaksi menjadi lebih rumit dan orang-orang menandatanganinya secara buta. Memverifikasi itu sulit.”

Menurut Teixeira, dompet perangkat keras tidak memiliki fitur penting seperti buku alamat atau integrasi dengan JSON ABI, yang memungkinkan pengguna untuk lebih memahami apa yang mereka tandatangani dari layar perangkat.

Implikasi Industri-Wide dan Praktik Terbaik

Insiden NPM telah memunculkan pertanyaan tentang praktik keamanan yang digunakan oleh pengembang, manajer paket, dan organisasi. Beberapa di industri kripto percaya bahwa mengikuti praktik terbaik—seperti peninjauan sejawat dan tidak mengizinkan pengembang mendorong kode ke produksi tanpa persetujuan—dapat meminimalkan kemungkinan serangan semacam itu. Selain itu, mereka berpendapat bahwa pengembang harus menjaga sistem tetap diperbarui dan menghindari penggunaan ulang kata sandi.

Shahaf Bar-Geffen, salah satu pendiri dan CEO di COTI, percaya bahwa manajer paket seperti NPM seharusnya membuat proses masuk lebih sulit bagi penyerang potensial. Dia berargumen bahwa “Kerangka Keamanan Paket Kritikal,” yang berpotensi diawasi oleh badan seperti OpenJS Foundation, “bisa mewajibkan otentikasi yang kuat (2FA, token API ruang lingkup), pembuatan ulang, dan audit pihak ketiga tahunan untuk paket yang melebihi ambang batas unduhan tinggi.” Bar-Geffen percaya bahwa model verifikasi bertingkat ini akan membantu mendorong praktik terbaik sambil melindungi infrastruktur krusial.

Untuk menghindari harus bergantung pada satu orang (yang mungkin memiliki kepentingan), Carlo Fragni, Solution Architect di Cartesi, mendorong proyek untuk tetap terhubung ke saluran yang digunakan oleh peneliti. Dia juga menganjurkan “menggunakan alat analisis ketergantungan dan melakukan uji tuntas pada setiap ketergantungan setiap kali diperbarui ke versi baru.”