npm memperketat izin token untuk menghadapi serangan, pelaku keamanan Web3 mempertanyakan kecukupan tindakan tersebut

npm telah mulai memperketat akses token dengan izin tinggi sebagai respons terhadap serangan rantai pasokan "Mini Shai-Hulud" yang baru-baru ini mempengaruhi pengembang Web3. Platform telah mencabut granular access token dengan izin menulis dan meminta pengguna segera mengganti kunci, serta beralih ke mekanisme publikasi Trusted Publishing.

Platform Mulai Bertindak

Tujuan langsung dari penyesuaian ini adalah untuk menahan gelombang penyebaran terbaru program jahat tersebut. Penyerang sebelumnya memanfaatkan token dengan izin menulis untuk melewati verifikasi dua langkah, mempublikasikan paket perangkat lunak jahat atau mencemari versi paket yang sudah ada di registri npm.

Namun, beberapa peneliti keamanan berpendapat bahwa tindakan npm datang terlalu lambat dan terutama membatasi penyebaran selanjutnya tanpa menangani kode berbahaya yang sudah masuk ke perangkat pengembang.

Lingkungan yang Terinfeksi Masih Bisa Bocor Data

Para peneliti menunjukkan bahwa pencabutan token memang dapat mengurangi versi jahat baru terus dirilis, tetapi manfaatnya terbatas bagi lingkungan pengembangan yang sudah terinfeksi. Worm tersebut akan tertanam dalam konfigurasi IDE dan asisten AI, serta terus-menerus aktif setiap kali pengembang mengakses alat terkait.

Ini berarti meskipun pengembang menghapus file proyek atau membersihkan node_modules, skrip jahat tetap dapat kembali menginfeksi lingkungan dan terus mencuri informasi sensitif dalam operasi berikutnya.

Target Serangan Termasuk Kredensial Cloud dan Frasa Wallet

Deskripsi yang dipublikasikan menunjukkan bahwa program jahat ini tidak hanya mencuri kredensial pengembangan umum, namun juga mengumpulkan kredensial layanan awan AWS dan mnemonic wallet kripto yang bernilai tinggi. Data terkait kemudian dikirim melalui API resmi GitHub, membuat lalu lintas terlihat seperti aktivitas pengembangan normal dan meningkatkan kesulitan deteksi.

• Penyerang mengendalikan akun npm sah atool
• Menerbitkan 637 versi jahat dalam 27 menit
• Melibatkan 323 paket, unduhan mingguan sekitar 16 juta kali

Komunitas Keamanan Mengkritik Respons yang Pasif

Taylor Monahan, Kepala Peneliti Keamanan MetaMask, dan beberapa pihak lain mengkritik bahwa langkah platform saat ini lebih terlihat seperti mengkonfirmasi skala masalah daripada membersihkan infeksi itu sendiri. Peneliti lainnya juga menunjukkan bahwa hanya menutup akses tidak dapat menggantikan analisis dan pembersihan perilaku program jahat secara menyeluruh.

Bagi tim Web3, insiden ini sekali lagi menunjukkan rantai alat pengembangan telah menjadi pintu masuk berisiko tinggi. Khususnya setelah asisten AI pemrograman banyak digunakan dalam proses harian, jika lapisan konfigurasi terinfeksi skrip jahat, dampaknya bisa melampaui satu proyek saja.