Perbarui 31 Maret 2026, 1:28 pm UTC: Artikel ini telah diperbarui untuk menambahkan komentar dari Abdelfattah Ibrahim, insinyur keamanan ofensif senior di Hacken.
Dua rilis npm Axios yang berbahaya telah memicu peringatan bagi pengembang untuk merotasi kredensial dan memperlakukan sistem yang terpengaruh sebagai telah disusupi setelah serangan rantai pasokan meracuni pustaka klien HTTP JavaScript yang populer tersebut.
Kompromi ini pertama kali dilaporkan oleh perusahaan keamanan siber Socket, yang mengatakan [email protected] dan [email protected] telah dimodifikasi untuk menarik [email protected], sebuah dependensi berbahaya yang berjalan secara otomatis selama instalasi sebelum rilis tersebut dihapus dari npm.
Menurut perusahaan keamanan OX Security, kode yang diubah dapat memberikan akses jarak jauh kepada penyerang ke perangkat yang terinfeksi, memungkinkan mereka untuk mencuri data sensitif seperti kredensial login, kunci API, dan informasi dompet kripto.
Insiden ini menunjukkan bagaimana satu komponen open-source yang disusupi berpotensi menyebar ke ribuan aplikasi yang mengandalkannya, mengekspos tidak hanya pengembang tetapi juga platform dan pengguna yang terhubung ke sistem.
OX Security memperingatkan pengembang yang menginstal [email protected] atau [email protected] untuk memperlakukan sistem mereka sebagai sepenuhnya telah disusupi dan segera merotasi kredensial, termasuk kunci API dan token sesi.
Socket mengatakan rilis Axios yang disusupi telah dimodifikasi untuk menyertakan dependensi pada [email protected], sebuah paket yang diterbitkan tak lama sebelum insiden dan kemudian diidentifikasi sebagai berbahaya.
Terkait: Ekstensi peramban Trust Wallet mati karena 'bug' Chrome Store, kata CEO
Perusahaan mengatakan dependensi tersebut dikonfigurasi untuk berjalan secara otomatis selama instalasi melalui skrip pasca-instalasi, memungkinkan penyerang untuk mengeksekusi kode pada sistem target tanpa interaksi pengguna tambahan.
Socket menyarankan pengembang untuk meninjau proyek dan file dependensi mereka untuk versi Axios yang terpengaruh dan paket [email protected] yang terkait, serta untuk segera menghapus atau mengembalikan versi yang telah disusupi.
Abdelfattah Ibrahim, insinyur keamanan ofensif senior di Hacken, mengatakan kepada Cointelegraph bahwa kompromi tersebut dapat memiliki implikasi serius untuk aplikasi terkait kripto yang mengandalkan Axios untuk operasi backend.
“Itu adalah berita buruk bagi dapp dan aplikasi yang berhubungan dengan mata uang kripto karena Axios memainkan peran besar dalam panggilan API,” katanya, mencatat bahwa sistem yang terpengaruh dapat mencakup integrasi bursa, pemeriksaan saldo dompet, dan penyiaran transaksi.
Ibrahim mengatakan malware yang disebarkan dalam serangan tersebut berfungsi sebagai trojan akses jarak jauh penuh, memungkinkan penyerang untuk berinteraksi langsung dengan sistem yang disusupi. Dia menambahkan bahwa insiden ini menyoroti kelemahan yang lebih luas dalam penanganan risiko rantai pasokan.
Insiden kripto sebelumnya telah menunjukkan bagaimana pelanggaran rantai pasokan dapat meningkat dari informasi pengembang yang dicuri menjadi kerugian dompet yang dihadapi pengguna.
Pada 3 Januari, penyelidik on-chain ZachXBT melaporkan bahwa "ratusan" dompet di seluruh jaringan yang kompatibel dengan Ethereum Virtual Machine dikuras dalam serangan luas yang menyedot sejumlah kecil dari setiap korban.
Peneliti keamanan siber Vladimir S. mengatakan insiden tersebut berpotensi terkait dengan pelanggaran pada bulan Desember yang memengaruhi Trust Wallet, yang mengakibatkan kerugian sekitar $7 juta di lebih dari 2.500 dompet.
Trust Wallet kemudian mengatakan pelanggaran tersebut mungkin berasal dari kompromi rantai pasokan yang melibatkan paket npm yang digunakan dalam alur kerja pengembangannya.
Majalah: Tidak ada yang tahu apakah kriptografi kuantum yang aman akan berfungsi
