Dalam sebuah postingan di platform X, agen keamanan blockchain Hacken mengatakan bahwa timnya baru-baru ini menemukan kelas penipuan yang bermunculan di platform seperti Telegram dan Linkedin. Khususnya, penipuan ini menargetkan pengembang dan auditor di industri kripto.
Secara khusus, para penipu mengkhususkan diri dalam mengidentifikasi individu yang menawarkan layanan teknis di jejaring sosial dan meyakinkan mereka untuk mengunduh repositori atas nama proyek yang sah. Di dalam repositori tersebut, kode berisi perintah "npm run" yang tidak stabil. Ketika dieksekusi, ini dapat membahayakan sistem file pengguna. Metode ini mirip dengan penipuan sebelumnya yang melibatkan file zip dan PDF palsu.
Untuk memperkuat pertahanan Anda terhadap taktik ini, pertimbangkan langkah-langkah berikut:
- Berhati-hatilah ketika mengunduh repositori, terutama ketika diminta oleh sumber yang tidak dikenal;
- Gunakan alat bantu seperti Semgrep atau CodeQL untuk memeriksa kode repositori dan membuat aturan yang ditetapkan untuk memastikan keamanannya ketika dijalankan secara lokal.