Enam Belas Ekstensi Dompet Palsu di Firefox Diburu untuk Curi Frasa Pemulihan

Enam belas ekstensi palsu di peramban Firefox yang menyamar sebagai dompet kripto Rabby dan OKX ternyata dibuat untuk mencuri frasa pemulihan dan kunci privat penggunanya. Empat di antaranya meniru tampilan Rabby Wallet dan dua belas sisanya menyaru sebagai OKX Wallet. Mozilla sudah mencabut keenam belasnya dari daftar resmi per 5 Oktober.

Inti masalahnya sederhana tapi berbahaya: frasa pemulihan adalah kunci induk sebuah dompet. Siapa pun yang memegang rangkaian kata itu bisa membuka dompet dan memindahkan seluruh asetnya, tanpa perlu kata sandi atau izin tambahan. Ekstensi-ekstensi palsu ini menyasar tepat momen paling rawan, yaitu layar "impor dompet", saat pengguna mengetikkan frasa pemulihan atau kunci privatnya untuk masuk. Di balik layar, kode jahatnya menyalin data itu lalu mengirimkannya ke server yang dikendalikan pelaku. Begitu terkirim, kendali atas dompet praktis sudah berpindah tangan.

Yang membuatnya makin licik, keterangan resmi ekstensi-ekstensi itu di Firefox justru menyatakan tidak mengumpulkan data apa pun, padahal di dalamnya terpasang kode untuk mengumpulkan kredensial dompet. Jadi janji "aman" yang tertera di halaman pemasangan tidak berarti apa-apa.

Tidak semua varian berfungsi mulus. Salah satu versi tiruan OKX masih memuat kode pencuri rahasia, tetapi alur normalnya tidak jalan karena ada ketidakcocokan teknis di dalamnya sehingga bagian pencurinya gagal aktif. Namun ini bukan alasan untuk lega: niat dan kodenya tetap ada, dan pengguna biasa tidak punya cara mudah untuk tahu varian mana yang terpasang di perambannya.

Karena sulit memastikan versi mana yang sempat dipakai, langkah paling aman adalah berasumsi yang terburuk. Siapa pun yang pernah mengetikkan frasa pemulihan atau kunci privat asli ke salah satu ekstensi ini sebaiknya menganggap dompetnya sudah bocor: buat dompet baru di perangkat atau lingkungan yang bersih, lalu pindahkan asetnya ke sana. Satu hal yang perlu ditegaskan, sekadar menghapus ekstensinya tidak mengamankan frasa yang mungkin sudah terlanjur terekam dan terkirim. Kebocoran yang sudah terjadi tidak bisa ditarik kembali hanya dengan mencopot aplikasinya.

Pelajaran yang bisa dibawa untuk kejadian serupa di masa depan: perlakukan frasa pemulihan seperti kunci brankas yang tidak pernah boleh diketik ke aplikasi atau ekstensi yang belum benar-benar dipastikan keasliannya, dan jangan percaya pada klaim "tidak mengumpulkan data" begitu saja.