Malware TrapDoor Incar Developer Tools Kripto Lewat Supply Chain

Perusahaan keamanan Socket mendeteksi kampanye malware baru bernama TrapDoor yang secara spesifik menargetkan developer tools untuk mencuri aset kripto. Serangan ini menggunakan paket berbahaya yang diunggah ke repositori populer seperti npm (JavaScript/Node.js), PyPI (Python), dan Crates (Rust) — tiga platform yang menjadi tulang punggung pengembangan web, AI, dan aplikasi blockchain. Paket-paket tersebut dirancang untuk tampil sebagai alat bantu pengembangan yang sah, seperti development helpers, project setup tools, model routing utilities, Solidity tooling, dan Sui/Move build helpers. Tujuan akhirnya adalah mencuri kredensial wallet kripto, token cloud, akses GitHub, dan SSH keys dari developer yang tidak curiga.

Socket juga mencatat bahwa GitHub digunakan sebagai vektor distribusi, dan aktivitas di platform tersebut menunjukkan tanda-tanda serangan yang dibantu AI — mulai dari scaffolding keamanan tematik hingga injeksi prompt dan komponen malware yang berfungsi. Ini adalah serangan supply chain yang sangat tersamar karena mengeksploitasi kepercayaan developer terhadap paket open source yang mereka install setiap hari. Dampak dari serangan ini tidak terbatas pada satu perusahaan atau platform. Jika seorang developer tanpa sengaja menginstal salah satu paket berbahaya, seluruh lingkungan pengembangan — termasuk wallet kripto, cloud credentials, dan akses ke repositori kode — bisa terkompromi. Dalam konteks kripto, kerugian langsung bisa berupa terkurasnya saldo wallet yang terhubung.

Di luar itu, kredensial yang dicuri dapat digunakan untuk menyusup ke sistem internal perusahaan, mencuri kekayaan intelektual, atau meluncurkan serangan lanjutan. Bagi Indonesia, yang memiliki basis developer kripto dan AI yang terus tumbuh, ancaman ini langsung relevan. Banyak startup dan perusahaan teknologi di Indonesia menggunakan npm dan PyPI untuk membangun aplikasi, termasuk aplikasi yang melibatkan smart contract di Ethereum, Sui, atau Move. Exchange kripto lokal, platform DeFi, dan proyek token juga bergantung pada developer yang menggunakan alat-alat tersebut. Jika salah satu paket berbahaya berhasil menginfeksi proyek lokal, dampaknya bisa sistemik — mulai dari kebocoran data pengguna hingga hilangnya dana nasabah. Selain itu, serangan yang dibantu AI menunjukkan bahwa vektor ancaman terus berevolusi, dan metode deteksi konvensional mungkin tidak cukup.

Yang harus dipantau dalam 1-4 minggu ke depan adalah respons dari platform yang menjadi sasaran. npm, PyPI, dan Crates harus segera mengidentifikasi dan menghapus semua paket berbahaya yang terkait dengan kampanye TrapDoor. GitHub juga perlu memastikan repositori yang digunakan sebagai vektor distribusi telah dibersihkan. Di sisi Indonesia, BSSN dan CERT Indonesia perlu mengeluarkan peringatan resmi dan panduan mitigasi untuk developer lokal. Sinyal kunci adalah apakah ada laporan korban di Indonesia — jika ada, eksposur risiko meluas dan perlu respons cepat. Developer dan perusahaan teknologi di Indonesia sebaiknya melakukan audit dependensi proyek mereka, memeriksa apakah ada paket mencurigakan yang baru ditambahkan, dan mempertimbangkan penggunaan alat keamanan seperti Socket yang mendeteksi paket berbahaya secara otomatis.