Keamanan kripto biasanya berfokus pada apa yang terjadi di dalam dompet: frasa seed, kunci privat, persetujuan mencurigakan, dan tautan phishing. FomoPeek mengingatkan bahwa risiko dapat dimulai satu lapisan lebih awal, yaitu dari perangkat yang menyimpan semuanya.
Laporan SlowMist yang diterbitkan pada 20 September menuduh bahwa FomoPeek, aplikasi pemantauan dompet yang terdaftar di App Store, memiliki modul berbahaya dalam versi 1.1 dan 1.2. Menurut laporan tersebut, modul itu dapat menggunakan konfigurasi jarak jauh, mencoba mengeksploitasi sistem, serta mengumpulkan data dari aplikasi dompet dan catatan yang ditargetkan.
FomoPeek kemudian merilis versi 1.3 tanpa modul yang disebutkan. Hal itu mungkin menghilangkan ancaman yang dilaporkan dari versi yang lebih baru, tetapi tidak dapat membalikkan informasi yang mungkin sudah terekspos.
Bagi trader, perbedaan itu penting. Daftar aplikasi resmi dapat membuat perangkat lunak terasa tepercaya, terutama ketika produk tersebut tampak hanya melakukan hal sederhana seperti memantau aktivitas dompet publik. Namun, distribusi melalui toko aplikasi yang sudah dikenal tidak menghilangkan kemampuan yang mungkin dimiliki aplikasi setelah terpasang di perangkat.
Risikonya lebih besar daripada sekadar alamat dompet
FomoPeek memperkenalkan dirinya sebagai alat untuk memantau aktivitas dompet publik di Solana, Ethereum, dan TRON. Sekilas, hal itu terdengar relatif tidak berbahaya. Alamat publik memang sudah terlihat di blockchain, dan sekadar memantau satu alamat tidak memerlukan kendali atas dompet di baliknya.
Kekhawatiran yang diangkat SlowMist jauh lebih serius.
Analisisnya menyatakan bahwa versi yang terdampak dapat mengidentifikasi aplikasi yang terpasang, menerima instruksi pengumpulan data dari server jarak jauh, serta menargetkan data yang terkait dengan aplikasi dompet dan catatan. Hal itu mengubah sepenuhnya pertanyaan keamanannya. Potensi kelemahannya bukan koneksi dompet yang mencurigakan atau formulir jelas yang meminta trader memasukkan frasa seed. Melainkan informasi sensitif yang disimpan di tempat lain pada perangkat yang sama.
Hal itu penting karena frasa seed atau kunci privat berada di pusat pengelolaan aset mandiri. Ponsel dapat dikunci. Aplikasi dompet dapat memerlukan kata sandi. Transaksi dapat memerlukan konfirmasi. Namun, jika seseorang memperoleh rahasia pemulihan yang mendasarinya, perlindungan tersebut mungkin tidak lagi cukup.
Dompet tersebut berpotensi dipulihkan di tempat lain, sehingga penyerang dapat mengotorisasi transaksi tanpa pernah menyentuh perangkat asli. Memahami cara kerja dompet Web3 sebenarnya membuat pembedaan ini sangat penting: melindungi aplikasi dompet hanyalah sebagian dari melindungi dompet itu sendiri.
Oleh karena itu, laporan FomoPeek menunjukkan masalah keamanan yang lebih luas. Frasa pemulihan tidak boleh disimpan di catatan, tangkapan layar, galeri foto, log obrolan, atau draf cloud pada perangkat yang sama dengan yang digunakan untuk mengakses kripto.
Menghapus aplikasi tidak mengatur ulang risikonya
Setelah informasi sensitif dompet mungkin telah terekspos, menghapus aplikasi tidak sama dengan menghilangkan ancamannya.
Trader yang memasang FomoPeek versi 1.1 atau 1.2 yang dilaporkan harus menganggap frasa pemulihan, kunci privat, dan kredensial perangkat sensitif yang mungkin terekspos sebagai informasi yang mungkin tidak lagi bersifat pribadi. Menghapus aplikasi atau mengubah kata sandi dompet lokal tidak mengubah rahasia pemulihan yang mendasarinya.
Perbedaan itu penting. Kata sandi dompet umumnya melindungi akses pada perangkat tertentu. Frasa pemulihan mengendalikan dompet itu sendiri.
Jika ada alasan untuk meyakini bahwa frasa pemulihan tersebut mungkin telah dikumpulkan, tindakan yang lebih aman adalah memindahkan aset yang terdampak dari perangkat yang diketahui bersih ke dompet yang benar-benar baru, yang dibuat dengan frasa pemulihan baru. Menggunakan kembali frasa pemulihan lama hanya membawa potensi paparan yang sama ke pengaturan baru.
Pemindahan ini juga perlu mencakup lebih dari sekadar saldo token yang paling terlihat. Trader harus memeriksa aset di berbagai jaringan, termasuk token, NFT, dan posisi yang disimpan dalam protokol, sebelum tidak lagi menggunakan dompet lama.
Perangkat itu sendiri juga perlu diperhatikan. Transaksi mencurigakan, tanggal pemasangan, dan versi aplikasi harus didokumentasikan jika nantinya diperlukan oleh bursa, platform, atau tim keamanan. Sesi login juga harus ditinjau, terutama untuk akun bursa dan email yang diakses dari perangkat yang sama, dengan mengatur ulang kata sandi jika diperlukan.
Akun terpusat menghadirkan lapisan keamanan yang berbeda. Tindakan seperti autentikasi dua faktor dan perlindungan identitas dapat membuat kredensial yang dicuri saja menjadi kurang berguna bagi penyerang, terutama ketika perangkat yang sama digunakan untuk mengakses dompet dan akun bursa.
Satu perangkat tidak harus menanggung semua risiko
Kasus FomoPeek juga menimbulkan pertanyaan praktis yang melampaui satu aplikasi: seberapa banyak yang seharusnya dipercayakan trader kepada satu perangkat?
Sebuah ponsel yang digunakan untuk menyimpan aset jangka panjang, aplikasi kripto eksperimental, kampanye promosi, media sosial, email, dan penjelajahan sehari-hari menciptakan beberapa celah keamanan berbeda di tempat yang sama. Setiap tindakan mungkin tampak mudah dikelola, tetapi risikonya mulai saling tumpang tindih.
Pemisahan dapat mengurangi tumpang tindih tersebut.
Perangkat yang bersih atau profil peramban khusus dapat dikhususkan untuk wallet bernilai tinggi, sementara wallet terpisah dengan saldo rendah dapat digunakan untuk menguji aplikasi, kampanye, atau layanan yang belum dikenal. Sistem operasi harus selalu diperbarui, dan aplikasi hanya boleh dipasang setelah tujuan serta penerbitnya diperiksa. Penawaran imbalan yang menciptakan rasa urgensi terkait perangkat lunak yang belum dikenal atau izin yang tidak biasa perlu dicermati secara khusus.
Keamanan wallet juga memiliki beberapa lapisan. Menyimpan seed phrase secara offline membantu melindungi dari pengambilalihan akun, sementara meninjau persetujuan token dan smart contract membantu membatasi jenis paparan yang berbeda. Yang satu tidak menggantikan yang lain.
Prinsip yang sama berlaku untuk kebiasaan sehari-hari. Meningkatkan keamanan kripto bisa sesederhana memeriksa tautan sebelum membukanya, mempertanyakan permintaan yang tidak terduga, dan menolak memberikan informasi pemulihan hanya karena seseorang menciptakan rasa urgensi.
Satu aturan tetap sangat sederhana: tidak ada tim dukungan resmi yang membutuhkan seed phrase atau private key milik trader.
Daftar resmi bukan jaminan keamanan
Bagian yang mengusik dari laporan FomoPeek bukan sekadar bahwa sebuah aplikasi terkait kripto dituduh mengandung fungsi berbahaya. Trader kripto sudah tahu bahwa perangkat lunak berbahaya memang ada.
Yang membuat kasus ini lebih berguna sebagai pelajaran keamanan adalah di mana perangkat lunak tersebut dilaporkan muncul dan apa yang tampaknya dilakukan produk itu.
Daftar di App Store menciptakan kesan keakraban. Alat pemantauan wallet yang bekerja dengan alamat publik dapat terlihat tidak sesensitif wallet itu sendiri. Jika kedua asumsi tersebut digabungkan, trader mungkin menurunkan kewaspadaan sebelum mempertimbangkan hal lain yang dapat diakses aplikasi tersebut di perangkat.
Itulah sebabnya ketersediaan di toko aplikasi, kualitas antarmuka, atau rangkaian fitur yang tampaknya terbatas harus diperlakukan sebagai sinyal, bukan jaminan. Pertanyaan yang lebih penting adalah izin apa yang diterima aplikasi, informasi apa yang tersedia di tempat lain pada perangkat, dan apa yang akan terjadi jika informasi tersebut terekspos.
Versi 1.3 FomoPeek dilaporkan telah menghapus modul-modul yang diidentifikasi oleh SlowMist. Namun, bagi siapa pun yang mungkin pernah menggunakan versi sebelumnya, pertanyaan keamanan yang relevan bukan hanya apakah aplikasi saat ini lebih aman. Pertanyaannya adalah apakah informasi yang terekspos sebelum pembaruan masih dapat dipercaya.
Rahasia pemulihan adalah batas perlindungan yang sebenarnya
Pada akhirnya, insiden FomoPeek tidak hanya berkaitan dengan satu aplikasi pemantau dompet, melainkan tentang di mana para trader menetapkan batas perlindungan atas hak asuh mandiri.
Sebuah dompet dapat dirancang dengan baik, tetapi tetap berada di perangkat yang telah disusupi. Frasa seed dapat dimasukkan dengan benar, tetapi setelahnya tetap disimpan di tempat yang tidak aman. Sebuah aplikasi mungkin hanya meminta alamat publik, sementara informasi lain di ponsel yang sama menciptakan paparan yang jauh lebih besar.
Hal itu menjadikan keamanan perangkat sebagai bagian dari keamanan dompet.
Bagi trader yang menggunakan versi FomoPeek yang terdampak, prioritasnya adalah mengidentifikasi apa saja yang mungkin telah terekspos dan merespons sesuai tingkat sensitivitas informasi tersebut. Bagi semua orang lainnya, laporan ini menjadi alasan untuk meninjau di mana materi pemulihan disimpan, aplikasi apa saja yang berbagi perangkat yang sama, dan seberapa besar nilai yang berada di balik satu frasa seed.
Hak asuh mandiri memberi trader kendali langsung atas aset mereka. Hal itu juga menjadikan rahasia pemulihan sebagai garis kendali terakhir.
Lindungi garis tersebut, dan dompet itu tetap menjadi milik Anda.
