Sebuah perusahaan keamanan siber bernama Confiant menemukan fakta bahwa terdapat operasi skala besar yang menggunakan malware trojan untuk mengincar dompet kripto aplikasi Coinbase, MetaMask, TokenPocket, dan juga imToken.
Operasi tersebut dinamakan SeaFlower dan dikatakan menjadi ancaman paling canggih yang membidik pengguna Web3, setelah Lazarus Group. Skema yang dijalankan adalah dengan masuk melalui mekanisme “backdoored” di dompet kripto untuk kemudian mencuri data keamanan pengguna. Tujuannya tak lain agar bisa mengakses aset digital yang ada dalam dompet kripto tersebut.
Penggunaan malware trojan bukanlah pertama kali digunakan untuk mencuri data pribadi. Pada tahun 2018 lalu, Trojan menyerang 889.452 pengguna internet, yang mana 25% di antaranya berasal dari kelompok korporasi. Malware ini mengincar lembaga perbankan atau lembaga keuangan lainnya untuk mencuri kredensial pengguna. Sementara, di dunia kripto, malware trojan diketahui menyerang pengguna kripto yang menggunakan aplikasi perdagangan di Apple macOS. Serangan tersebut dinamakan GMERA.
Serang Dompet Kripto dengan Buat Kloning Situs Web
Modus operasi SeaFlower sendiri bekerja dengan menyebarkan aplikasi trojan ke pengguna kripto sebanyak mungkin. Setelah itu, pelaku kejahatan akan membuat kloning alias duplikasi dari situs web yang sah.
Strategi untuk bisa mendapatkan kredibilitas dari pengguna juga dijalankan dengan menggunakan teknik black SEO. Lewat optimasi situs web, para pengguna yang menggunakan mesin pencari untuk menemukan kata kunci tertentu akan diarahkan ke tautan situs berbahaya.
Pelaku memanfaatkan kelengahan pengguna kripto. Pasalnya, kebanyakan pengguna internet tidak akan menaruh curiga terhadap posisi teratas yang ada di mesin pencarian. Confiant menjelaskan bahwa hasil pencarian dari search engine Baidu adalah yang paling terdampak dari operasi trojan tersebut.
Untuk aplikasi dompet kripto MetaMask di sistem operasi iOS, pelaku kejahatan memotong sistem yang memuat sandi keamanan saat akan membuat dompet kripto baru atau melakukan sinkronisasi terhadap dompet yang sudah ada ke aplikasi baru.
Malware tersebut juga akan membuat domain yang mirip dengan domain dompet kripto asli milik pengguna. Director of Threat Intelligence Confiant, Taha Karim, menjelaskan pihak penyebar trojan banyak menghabiskan waktu untuk merekayasa balik react native bridge guna memahami bagaimana dan dimana bundle dibuat.
“Memasukkan react native bundles adalah sesuatu yang baru di dunia backdoor, dan hal itu harus dilakukan dengan MetaMask yang merupakan aplikasi yang bersifat react native app,” katanya.
SeaFlower dari Cina?
SeaFlower sendiri sebenarnya sudah diidentifikasi sejak Maret tahun ini. Trojan tersebut membidik pengguna Web3 untuk bisa mengeruk keuntungan. Operasi tersebut terbongkar setelah salah satu data yang disuntikkan di Mach-O dari aplikasi MetaMask memperlihatkan path lengkap ke data turunan xcode dan membocorkan nama pengguna macOS tersebut sebagai Zhang Haike.
Confiant menduga bahwa SeaFlower berasal dari Cina. Hal itu dilandasi oleh beberapa hal. Mulai dari nama pengguna macOS yang merupakan nama Cina, kode komentar yang ditulis dalam bahasa Cina, kerangka kerja modding dalam bahasa Mandarin, dan beberapa situs web kloning yang hosted dari alamat IP di Hong Kong. Terlebih lagi, sebagian mesin pencari yang dibidik adalah mesin pencari milik Cina.
Selain MetaMask, dompet kripto yang dibidik adalah dompet Coinbase, TokenPocket, dan imToken yang beroperasi di iOS dan Android. Dompet tersebut dikatakan Confiant tetap aman untuk digunakan namun aplikasinya terkena modding dan juga backdoor dari SeaFlower.
Taha Karim mengingatkan agar para pengguna aset kripto selalu mengunduh aplikasi di sumber yang dipercaya, baik itu aplikasi resmi ataupun dari situs resmi.
Meski begitu, sampai saat ini belum ada laporan terkait kerugian yang ditimbulkan dari malware trojan yang dijalankan oleh operasi SeaFlower.
Penyangkalan
Seluruh informasi yang terkandung dalam situs kami dipublikasikan dengan niat baik dan bertujuan memberikan informasi umum semata. Tindakan apa pun yang dilakukan oleh para pembaca atas informasi dari situs kami merupakan tanggung jawab mereka pribadi.
Selain itu, sebagian artikel di situs ini merupakan hasil terjemahan AI dari versi asli BeInCrypto yang berbahasa Inggris.
