Celah Keamanan Web Guncang Internet, Bursa Kripto Besar Klaim Aman

Kabar keamanan siber mendominasi dunia kripto pekan ini setelah celah serius pada PHP—bahasa pemrograman yang menjalankan sekitar 70% situs web yang bahasa server-nya diketahui—mengguncang internet. Di tengah itu, Bitcoin bergerak turun tipis 1,49% ke $81.988 dan Ethereum melemah 1,54% ke $2.410.

Sejumlah nama besar bergegas menenangkan pengguna. Coinbase dan Bitgo menyatakan tidak menemukan paparan terhadap celah ini, sementara Bitget Wallet dan Pancakeswap mengatakan mereka tidak memakai PHP, dan Kaia Chain menyebut PHP bukan bagian inti sistemnya. Binance mengaku telah "menerapkan pengamanan proaktif" sebelum tambalan resmi dirilis. Co-founder Binance, Changpeng Zhao, justru mengimbau kehati-hatian ekstra: sebut saja dia paranoid, katanya, tapi berhati-hatilah mengunjungi situs mana pun dalam beberapa hari ke depan, karena situs yang terdampak bisa menjadi jalan masuk untuk pencurian kredensial.

## Kenapa satu celah bisa menjangkau begitu banyak situs

Celah PHP berbahaya karena, menurut peringatan CERT-EU, memungkinkan penyerang menjalankan kode mereka sendiri di sebuah server tanpa perlu login lebih dulu. Artinya, situs yang belum ditambal bisa dikendalikan dari jarak jauh. Tim PHP sudah merilis perbaikan pada 21 Oktober, tapi perbaikan itu baru berguna kalau setiap pengelola situs memasangnya—dan di sinilah letak masalahnya.

Serangan tidak menunggu lama. Cloudflare mencatat ribuan upaya eksploitasi dalam 10 jam sebelum celah diumumkan ke publik, melonjak menjadi puluhan ribu dalam 45 menit setelah pengumuman, ratusan ribu dalam dua jam, dan kini jutaan. Amazon bahkan menemukan jejak percobaan serangan sejak 17 Oktober—bukti bahwa tanggal pengumuman resmi belum tentu hari pertama celah itu dipakai.

Perusahaan besar punya tim keamanan khusus, tapi toko kecil yang menerima pembayaran bitcoin lewat plugin WordPress sering harus mengandalkan diri sendiri atau penyedia hosting-nya. Pemroses pembayaran populer BTCPay Server sendiri tidak berjalan di atas PHP, namun plugin Woocommerce-nya untuk toko WordPress memakainya. Baik NSA maupun badan keamanan siber AS, CISA, menyarankan agar sistem berbasis PHP yang belum bisa ditambal sebaiknya dimatikan dulu sampai benar-benar aman.

## Ancaman kedua: sertifikat palsu

Pada saat yang sama, industri menghadapi celah lain. eMudhra, otoritas penerbit sertifikat digital asal India, ternyata memiliki kunci rahasia yang sangat lemah pada delapan sertifikat perantaranya. Sertifikat digital inilah yang diperiksa peramban saat Anda membuka situs ber-HTTPS, untuk memastikan situs itu memang asli. Dengan kunci yang lemah, penyerang bisa membuat sertifikat palsu untuk situs sebuah bursa—sehingga Anda merasa sedang berada di situs resmi padahal bukan. Peramban modern sudah mulai memblokir sertifikat bermasalah ini, tapi perangkat lunak lain seperti bot trading atau aplikasi dengan daftar sertifikatnya sendiri belum tentu ikut memblokir. Karena itu Lightning Labs mendesak penggunanya segera memperbarui perangkat lunak.

## Yang bisa Anda lakukan sendiri

Kabar baiknya, meski pengguna tidak bisa menambal server situs yang mereka kunjungi, ada langkah yang bisa diambil sendiri. Gunakan situs resmi yang sudah Anda simpan sebagai bookmark, dan abaikan pesan "update mendesak" yang muncul tiba-tiba. Yang paling penting saat memindahkan aset: periksa ulang alamat tujuan. Dompet perangkat keras memang menampilkan alamat yang dituju, tapi ia tidak bisa tahu apakah situs yang sudah diretas menampilkan alamat yang keliru. Konfirmasikan alamat penerima lewat sumber kedua—misalnya aplikasi resmi bursa atau alamat yang sudah Anda simpan sebelumnya.

Sampai sekarang belum ada laporan eksploitasi terhadap perusahaan kripto atau kehilangan dana pengguna. Namun para penyerang makin aktif, dan arah situasi masih bergantung pada seberapa cepat para pengelola situs memasang perbaikan. Yang perlu dipantau sederhana: munculnya laporan pertama soal situs yang berhasil dibajak atau dana yang hilang akan menjadi tanda bahwa risikonya naik, sementara sepinya kabar semacam itu menunjukkan tambalan berjalan lebih cepat dari serangan.