Serangan JavaScript NPM yang Luas Menyebarkan Malware Replikasi Sendiri di Seluruh Ekosistem Crypto

Rantai pasokan JavaScript yang tersebar luas telah menyusup ke lebih dari 400 paket perangkat lunak di berbagai industri, dengan peneliti keamanan siber menandai adanya paparan mendalam dalam infrastruktur terkait cryptocurrency. Temuan Aikido Security mengungkap pola yang mengkhawatirkan: aktor ancaman menyebarkan Shai Hulud, malware canggih yang dapat mereplikasi sendiri dan dirancang untuk menyebar secara otomatis melalui lingkungan pengembang serta mengekstrak kredensial sensitif.

Lingkup Serangan dan Mekanisme Teknis

Malware ini beroperasi berbeda dari insiden rantai pasokan NPM sebelumnya. Alih-alih menargetkan aset digital secara langsung, malware yang dapat mereplikasi sendiri ini berfungsi sebagai pengumpul kredensial, secara sistematis mencuri kunci dompet, token API, dan rahasia autentikasi dari sistem pengembangan yang terinfeksi. Setiap deteksi melalui proses validasi untuk mengeliminasi positif palsu, menurut pengungkapan peneliti Charlie Eriksen di media sosial.

Skala serangan tetap mengkhawatirkan. Perusahaan keamanan siber Wiz mengidentifikasi sekitar 25.000 repositori yang terkompromi, milik sekitar 350 pengguna berbeda, dengan infeksi baru terjadi sebanyak 1.000 repositori setiap setengah jam. Penyebaran otomatis ini membedakan ancaman saat ini dari insiden September sebelumnya di mana para penyerang secara manual mengekstrak $50 juta dalam cryptocurrency sebelum melanjutkan.

Infrastruktur Cryptocurrency di Bawah Serangan

Setidaknya sepuluh paket yang melayani industri blockchain menjadi korban, sebagian besar terkait dengan infrastruktur Ethereum Name Service (ENS). Ekosistem yang terdampak meliputi pustaka yang tersebar luas seperti:

• content-hash: sekitar 36.000 unduhan mingguan
• address-encoder: lebih dari 37.500 unduhan mingguan
• ensjs, ens-validation, ethereum-ens, ens-contracts: semuanya terkompromi

Selain alat khusus ENS, serangan ini juga menjangkau crypto-addr-codec, utilitas kriptografi mandiri yang mengelola hampir 35.000 unduhan per minggu. Paket-paket ini berfungsi sebagai ketergantungan dasar bagi ratusan proyek hilir, memperbesar risiko paparan di seluruh komunitas pengembangan.

Penilaian Dampak Lebih Luas

Kompromi ini melampaui aplikasi cryptocurrency. Korban yang terkenal termasuk platform otomasi perusahaan seperti Zapier, dengan beberapa paket yang terpengaruh menerima lebih dari 40.000 unduhan mingguan. Beberapa pustaka yang terkompromi melaporkan 1,5 juta unduhan per minggu, menunjukkan potensi paparan yang mempengaruhi ribuan aplikasi akhir.

Eriksen menggambarkan lingkup insiden ini sebagai “besar,” dengan upaya penyelidikan yang sedang berlangsung untuk menentukan parameter dampak secara lengkap. Rekomendasi langsung dari peneliti keamanan adalah melakukan audit menyeluruh terhadap lingkungan pengembangan yang menggunakan infrastruktur npm, disertai dengan rotasi kredensial secara mendesak dan prosedur pemulihan rantai pasokan.