Trust Wallet dirampok untuk Natal: Peretas mengeksploitasi kerentanan penskalaan untuk mencuri lebih dari $6 juta

一次看似 biasa pembaruan ekstensi Chrome, menjadi awal dari sebuah perampokan besar aset kripto. Tanggal 24 Desember, Trust Wallet mengirimkan pembaruan fitur ekstensi ke Chrome Web Store dengan nomor versi 2.68.

Pada hari Natal, 25 Desember, korban pertama bangun dan menemukan dana di dompet mereka telah dipindahkan tanpa izin. Detektif blockchain ZachXBT segera turun tangan menyelidiki dan mengirimkan peringatan darurat di grup Telegram.

Seiring penyelidikan berlangsung, gambaran lengkap kejadian mulai terungkap: hanya versi 2.68 dari ekstensi browser yang terpengaruh, versi mobile dan lainnya tidak terdampak.

01 Gambaran Kejadian: Insiden Keamanan Natal dan Respon Berbagai Pihak

Pada 25 Desember 2025, hari Natal yang seharusnya penuh kebahagiaan berubah menjadi mimpi buruk bagi ratusan pengguna Trust Wallet. Detektif blockchain ZachXBT mengeluarkan peringatan, menunjukkan ratusan pengguna Trust Wallet mengalami pencurian dana, dengan kerugian setidaknya mencapai 6 juta dolar AS.

Trust Wallet adalah dompet kripto di bawah Binance, yang mengklaim memiliki puluhan juta pengguna. Sebagai dompet non-penitipan terkemuka di industri, ia mendukung berbagai blockchain utama seperti Ethereum, Binance Smart Chain, dan terintegrasi erat dengan banyak platform DeFi.

Setelah kejadian, pihak resmi Trust Wallet mengeluarkan peringatan keamanan, mengonfirmasi adanya celah keamanan di versi ekstensi browser 2.68, dan segera merilis versi 2.69 untuk perbaikan.

Pendiri Binance CZ juga merespons di media sosial, menyatakan bahwa insiden celah ini mengakibatkan kerugian sekitar 7 juta dolar AS, dan platform akan mengganti rugi seluruh pengguna yang terdampak, dengan dana “SAFU” (Dana Aset Aman).

02 Kronologi Serangan: Perampokan Natal yang Direncanakan Matang

Kronologi insiden keamanan ini mengungkapkan bahwa pelaku melakukan perencanaan matang. Pada malam Natal, 24 Desember, Trust Wallet mengirimkan pembaruan ekstensi ke Chrome Web Store, dan sebagian besar pengguna secara otomatis atau manual melakukan pembaruan selama suasana liburan.

Hanya beberapa jam kemudian, pada pagi hari Natal, sekitar pukul dini hari hingga pagi waktu Timur AS, korban pertama mulai menyadari adanya transfer dana yang tidak wajar. ZachXBT yang menerima banyak laporan, mengeluarkan peringatan terbuka di Telegram sekitar siang hari waktu setempat.

Pergerakan dana berlangsung lebih dari 30 jam, dari laporan awal yang cukup lama. Selama aset pengguna terus dicuri, Trust Wallet tetap memposting konten ucapan selamat liburan dan promosi, yang kontras dengan kejadian ini memicu kemarahan komunitas.

Hingga 26 Desember, lebih dari 30 jam setelah kejadian, perwakilan Trust Wallet baru mengeluarkan peringatan resmi tentang celah ekstensi browser ini. Penanganan ini menuai kritik luas dan memperparah kekhawatiran pengguna.

03 Analisis Teknis: Celah Mematikan pada Ekstensi Browser

Para ahli keamanan menunjukkan bahwa serangan ini mungkin dilakukan melalui dua cara: pertama, penyisipan kode jahat secara sengaja saat pembaruan; kedua, tanpa sengaja memperkenalkan celah yang dapat dieksploitasi.

Fitur izin tinggi dari ekstensi Chrome membuatnya menjadi target ideal bagi pelaku serangan. Ekstensi ini dapat membaca dan memodifikasi semua konten web yang diakses pengguna, menyadap permintaan jaringan, menyuntikkan skrip sembarangan, bahkan mengakses penyimpanan lokal.

CISO SlowFog menambahkan bahwa insiden ini kemungkinan berasal dari perangkat pengembang atau repositori kode yang diserang, dan saat ini masih ada pengguna yang terus menjadi korban pencurian. Analisis ini menekankan ancaman serangan rantai pasokan—pelaku tidak perlu menyerang langsung aplikasi dompet, cukup mengendalikan salah satu bagian hulu yang menjadi dependensinya.

Penelitian keamanan menunjukkan bahwa dompet browser memiliki tiga risiko sistemik utama: mekanisme pembaruan otomatis yang membuat pengguna tidak bisa meninjau perubahan kode sebelum menerima versi baru; penyalahgunaan izin yang memungkinkan ekstensi sah menambahkan kode jahat saat pembaruan; serta celah rantai dependensi yang dapat mempengaruhi semua aplikasi hilir tanpa disadari pengguna.

04 Pelacakan Aliran Dana: Jalur Pencucian Uang Hacker

Berdasarkan data pemantauan PeckShield, dalam insiden eksploitasi celah Trust Wallet, hacker telah mencuri lebih dari 6 juta dolar AS dari korban. Dana ini dengan cepat dipindahkan secara otomatis ke sejumlah dompet yang dikendalikan pelaku.

Pelacakan aliran dana mengungkapkan proses pencucian uang yang sistematis:

Secara rinci, sekitar 3,3 juta dolar AS dipindahkan ke ChangeNOW, sekitar 340 ribu dolar ke FixedFloat, dan sekitar 447 ribu dolar ke KuCoin. Pola transfer cepat dan tersebar ini umum terjadi pada komponen yang mengalami kerusakan ekstensi atau frontend, bertujuan memperumit pelacakan.

Analis on-chain menemukan bahwa sebuah dompet EVM yang baru dibuat menerima transaksi dari beberapa ETH, mulai dari beberapa desimal hingga 7 ETH, salah satunya masih memegang lebih dari 255 ETH, bernilai sekitar 750 ribu dolar.

Di jaringan Bitcoin, satu alamat menerima lebih dari 12 BTC melalui 66 transaksi, bernilai lebih dari 1 juta dolar, sementara beberapa dompet lain menerima total 1,5 BTC.

05 Dampak Pasar dan Performa Token

Insiden Trust Wallet tidak hanya mempengaruhi korban langsung, tetapi juga mengguncang pasar kripto secara keseluruhan. Sebagai token utilitas asli ekosistem dompet ini, token Trust Wallet (TWT) mungkin mengalami tekanan harga.

Perusahaan riset keamanan SlowFog, pendirinya Yu Jin, menambahkan bahwa pelaku tampaknya sangat mengenal kode sumber ekstensi Trust Wallet, dan menyisipkan PostHog JS untuk mengumpulkan berbagai informasi pengguna dompet. Yang mengkhawatirkan, versi perbaikan Trust Wallet tidak menghapus skrip PostHog JS.

Data historis menunjukkan bahwa insiden keamanan serupa biasanya menyebabkan harga token terkait turun 10% hingga 20% dalam 24 jam, dengan volume transaksi meningkat dan terjadi kepanikan jual. Kejadian ini juga bisa mendorong investor beralih ke aset yang lebih aman, seperti Bitcoin dan Ethereum.

Hingga 26 Desember, data dari platform Gate menunjukkan bahwa pasar secara umum menunjukkan sikap hati-hati, dan perhatian terhadap masalah keamanan dompet meningkat secara signifikan. Meski CZ telah berjanji mengganti rugi penuh, kepercayaan pasar membutuhkan waktu untuk pulih.

06 Panduan dan Saran Keamanan untuk Pengguna

Bagi pengguna Trust Wallet yang mungkin terdampak, segera lakukan langkah berikut:

Langkah pertama: Periksa dan isolasi. Periksa riwayat transaksi dalam 48 jam terakhir, terutama transfer token tanpa izin, interaksi kontrak, atau tanda tangan otorisasi. Jika menemukan transaksi mencurigakan, matikan ekstensi Trust Wallet Chrome dengan pergi ke chrome://extensions dan nonaktifkan atau hapus ekstensi tersebut.

Langkah kedua: Selamatkan aset. Gunakan Revoke.cash atau fitur Token Approvals di Etherscan untuk mencabut semua otorisasi DeFi. Buat dompet baru dengan mnemonic baru, jangan gunakan dompet lama untuk pemulihan. Pindahkan sisa aset ke dompet baru, dan hindari perangkat yang mungkin sudah dipantau.

Langkah ketiga: Lapor dan klaim hak. ZachXBT menyarankan korban menghubungi aparat penegak hukum dan menyertakan catatan transaksi lengkap. Meski tingkat keberhasilan penyelesaian kasus pencurian kripto rendah, membuat catatan resmi penting untuk gugatan kolektif atau klaim asuransi di masa depan.

Bagi pengguna Trust Wallet yang belum terdampak, langkah pencegahan meliputi: Jangan gunakan ekstensi Chrome sementara, beralih ke aplikasi mobile atau hardware wallet; periksa dan cabut otorisasi kontrak DeFi yang tidak diperlukan; hindari menandatangani transaksi baru atau otorisasi sampai situasi jelas; rutin cadangkan mnemonic dan simpan secara offline; pertimbangkan memindahkan aset besar ke hardware wallet.

Trust Wallet juga telah mengumumkan proses kompensasi melalui pusat dukungan mereka, dan korban dapat mendaftar klaim di sana. ZachXBT menyatakan, jika kejadian ini terbukti disebabkan oleh Trust Wallet, platform tersebut mungkin harus mengganti rugi pengguna yang terdampak.

Masa Depan

Dengan lebih dari 4 juta dolar AS dana yang dicuri sudah mengalir ke ChangeNOW, FixedFloat, dan KuCoin, dampak dari perampokan Natal ini masih terasa di dunia kripto. Data dari perusahaan keamanan PeckShield menunjukkan bahwa sekitar 2,8 juta dolar AS dana masih tersisa di dompet hacker.

Yu Jin, seorang ahli keamanan yang menemukan bahwa versi perbaikan masih mengandung skrip mencurigakan, mengingatkan melalui media sosial bahwa keamanan di dunia aset digital bukanlah kejadian sekali saja, melainkan sebuah marathon tanpa akhir.

Keheningan dan penanganan selanjutnya dari Trust Wallet akan menjadi indikator bagaimana industri menangani krisis keamanan. Bagi setiap pemilik aset kripto, insiden ini adalah pengingat keras dan jelas—keamanan sejati selalu ada di tangan sendiri.