Paket NPM Axios Disusupi dalam Serangan Rantai Pasokan

Pembaruan 31 Maret 2026, 1:28 pm UTC: Artikel ini telah diperbarui untuk menambahkan komentar dari Abdelfattah Ibrahim, senior offensive security engineer di Hacken.

Dua rilis npm Axios berbahaya telah memicu peringatan bagi pengembang untuk merotasi kredensial dan memperlakukan sistem yang terpengaruh sebagai sistem yang telah dikompromikan setelah serangan rantai pasokan meracuni pustaka klien HTTP JavaScript yang populer.

Kompromi pertama kali dilaporkan oleh perusahaan keamanan siber Socket, yang mengatakan [email protected] dan [email protected] dimodifikasi untuk menarik [email protected], sebuah dependensi berbahaya yang berjalan secara otomatis selama instalasi sebelum rilis tersebut dihapus dari npm.

Menurut perusahaan keamanan OX Security, kode yang diubah dapat memberikan penyerang akses jarak jauh ke perangkat yang terinfeksi, memungkinkan mereka mencuri data sensitif seperti kredensial login, kunci API, dan informasi dompet kripto.

Insiden ini menunjukkan bagaimana satu komponen open-source yang dikompromikan berpotensi menyebar ke ribuan aplikasi yang bergantung padanya, mengekspos tidak hanya pengembang tetapi juga platform dan pengguna yang terhubung ke sistem. 

Perusahaan keamanan mendesak rotasi kunci, audit sistem

OX Security memperingatkan pengembang yang menginstal [email protected] atau [email protected] untuk memperlakukan sistem mereka sebagai sistem yang sepenuhnya dikompromikan dan segera merotasi kredensial, termasuk kunci API dan token sesi.

Socket mengatakan rilis Axios yang dikompromikan dimodifikasi untuk menyertakan dependensi pada [email protected], sebuah paket yang dipublikasikan sesaat sebelum insiden dan kemudian diidentifikasi sebagai berbahaya.

Terkait: Ekstensi browser Trust Wallet offline karena 'bug' Chrome Store, kata CEO

Perusahaan mengatakan dependensi dikonfigurasi untuk berjalan secara otomatis selama instalasi melalui skrip post-install, memungkinkan penyerang mengeksekusi kode pada sistem target tanpa interaksi pengguna tambahan.

Socket menyarankan pengembang untuk meninjau proyek dan file dependensi mereka untuk versi Axios yang terpengaruh dan paket [email protected] terkait, dan menghapus atau mengembalikan versi yang dikompromikan segera.

Abdelfattah Ibrahim, senior offensive security engineer di Hacken, mengatakan kepada Cointelegraph bahwa kompromi tersebut dapat memiliki implikasi serius bagi aplikasi terkait kripto yang bergantung pada Axios untuk operasi backend.

"Itu kabar buruk untuk dapps dan aplikasi yang berurusan dengan cryptocurrency karena Axios memainkan peran besar dalam panggilan API," katanya, mencatat bahwa sistem yang terpengaruh dapat mencakup integrasi exchange, pemeriksaan saldo dompet, dan siaran transaksi.

Ibrahim mengatakan malware yang diterapkan dalam serangan berfungsi sebagai trojan akses jarak jauh penuh, memungkinkan penyerang berinteraksi langsung dengan sistem yang dikompromikan. Dia menambahkan bahwa insiden ini menyoroti kelemahan yang lebih luas dalam bagaimana risiko rantai pasokan ditangani.

Insiden kripto sebelumnya menyoroti risiko rantai pasokan

Insiden kripto sebelumnya telah menunjukkan bagaimana pelanggaran rantai pasokan dapat meningkat dari informasi pengembang yang dicuri hingga kerugian dompet yang dihadapi pengguna.

Pada 3 Januari, investigator onchain ZachXBT melaporkan bahwa "ratusan" dompet di seluruh jaringan kompatibel Ethereum Virtual Machine dikuras dalam serangan luas yang menguras jumlah kecil dari setiap korban. 

Peneliti keamanan siber Vladimir S. mengatakan insiden tersebut berpotensi terkait dengan pelanggaran Desember yang memengaruhi Trust Wallet, yang mengakibatkan kerugian sekitar $7 juta di lebih dari 2.500 dompet. 

Trust Wallet kemudian mengatakan pelanggaran mungkin berasal dari kompromi rantai pasokan yang melibatkan paket npm yang digunakan dalam alur kerja pengembangannya.

Majalah: Tidak ada yang tahu apakah kriptografi aman kuantum akan benar-benar bekerja