Sebuah framework malware bernama OkoBot ternyata sudah lebih dari setahun mengintai diam-diam ke arah satu hal yang paling ditakuti pemilik kripto: seed phrase. Firma keamanan Kaspersky baru saja membongkar cara kerjanya, dan angkanya bikin merinding - sekitar 20 modul jahat bekerja bareng, mulai dari yang meniru tampilan dompet hardware sampai yang diam-diam merekam layar korban.
Yang membuat OkoBot berbeda dari kampanye sebelumnya, menurut Kaspersky, adalah cara ia mengangkut data curian: lewat SSH tunnel dari komputer korban langsung ke server penyerang. Korban sudah teridentifikasi di minimal lima negara - Brazil, Vietnam, Kanada, Meksiko, dan Turki. Menariknya, operatornya sengaja memblokir IP dari Rusia dan negara-negara CIS lain, sebuah petunjuk halus soal dari mana serangan ini kemungkinan berasal.
Ditipu untuk Menjebol Dompet Sendiri
Senjata utama OkoBot bukan kode canggih yang menembus benteng, melainkan tipuan bernama ‘ClickFix’. Ini teknik social engineering yang menipu korban agar menjalankan perintah berbahaya dengan tangannya sendiri - lewat pesan error palsu, langkah verifikasi bohongan, atau instruksi ‘perbaikan’ yang tampak meyakinkan. Malware-nya disebar lewat repositori GitHub yang menyamar sebagai software resmi, termasuk Microsoft SQL Server Management Studio.
Begitu masuk, modul-modulnya beraksi dengan pembagian tugas yang rapi. Modul ‘SeedHunter’ memunculkan antarmuka pemulihan palsu yang mirip Ledger atau Trezor - begitu korban mengetikkan seed phrase-nya, kata-kata rahasia itu langsung terkirim ke operator. ‘MC Keylogger’ merekam ketikan keyboard dan mengintai clipboard untuk mencuri password serta alamat wallet yang disalin. Sementara ‘OkoSpyware’ melacak password dan bahkan merekam video jendela aktif di layar korban.
Kaspersky menyebut OkoBot berevolusi dari malware lama bernama ‘TookPS’ yang pertama teridentifikasi pada 2025. Sejak Januari 2026, firma itu sudah mengidentifikasi banyak serangan yang memakai keluarga malware ini.
Bukan Pemain Tunggal
OkoBot ternyata bagian dari gelombang yang lebih besar. Firma keamanan SlowMist melaporkan kampanye terpisah: pelaku menyamar sebagai recruiter Web3 di LinkedIn, mengirim repositori GitHub palsu berkedok tes teknis wawancara kerja, lalu menguras project keys, kredensial cloud, dan data wallet extension milik developer yang tertipu.
📌 Baca JugaPeretas Kembalikan $2 Juta Curian, Lalu Tahan $2 Juta Lagi sebagai ‘Bounty’ Versi Sendiri
Teknik ClickFix sendiri sudah punya rekam jejak. Grup peretas Lazarus asal Korea Utara pernah memakainya lewat kampanye macOS ‘Mach-O Man’ yang dilaporkan CertiK pada April - mengirim undangan meeting palsu ke eksekutif fintech dan kripto, lalu menyuruh korban menempel perintah ‘perbaikan’ ke Terminal. Ada pula malware TrapDoor (dilaporkan Mei) yang disebar lewat paket software developer yang diracuni, mengincar akses ke Coinbase, Binance, MetaMask, Solana, hingga Aptos. TrapDoor bahkan sempat mencoba memanipulasi AI assistant lewat hidden prompt agar menjalankan ‘security scan’ palsu yang membocorkan secret.
Kenapa Ini Bukan Ancaman Biasa
Poin yang tak boleh dilupakan: begitu seed phrase bocor, transfer di blockchain tidak bisa dibatalkan. Tak ada tombol undo, tak ada bank yang bisa menahan transaksi. Korban nyaris mustahil memulihkan asetnya. Itulah kenapa serangan yang menyasar seed phrase jauh lebih mematikan ketimbang pencurian password biasa - dan kenapa satu momen lengah menempel perintah dari sumber tak dikenal bisa berujung kehilangan seluruh isi dompet. Kewaspadaan terhadap ‘pesan error yang menyuruh menjalankan sesuatu’ kini bukan lagi paranoia, tapi kebutuhan.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
