Apakah setiap transaksi Anda memberikan uang kepada Hacker? Mengungkap plugin penyedotan tersembunyi di Solana on-chain.

【链文】Kamu menemukan sebuah koin di X, lalu dengan mudah menekan ekstensi Chrome untuk langsung membelinya, dompet muncul untuk konfirmasi, transaksi selesai — terlihat sangat mulus, bukan? Tapi kamu mungkin tidak menyadari, setiap transaksi diam-diam mengalir ke dompet hacker.

Kasus yang baru-baru ini terungkap dapat dianggap sebagai contoh buku teks yang sangat tersembunyi: ada sebuah ekstensi Chrome bernama Crypto Copilot, yang mengklaim dapat memungkinkan Anda untuk berdagang koin di blockchain Solana langsung dari timeline X. Kedengarannya cukup nyaman, tetapi sebenarnya adalah sebuah pompa yang dirancang dengan cermat.

Permainannya sangat licik——Ketika pengguna memulai penukaran, plugin akan memanggil DEX seperti Raydium untuk mengeksekusi operasi, tetapi pada saat yang sama diam-diam menyisipkan perintah tersembunyi, untuk mentransfer setidaknya 0.0013 SOL( dari akun Anda, yang kira-kira 0,05% dari total transaksi). Kuncinya adalah antarmuka konfirmasi dompet hanya menampilkan ringkasan transaksi, tidak akan memperlihatkan rincian perintah secara spesifik, jadi Anda mengira hanya menandatangani swap, padahal sebenarnya telah memberikan otorisasi untuk dua operasi: menukar koin + mentransfer ke penyerang.

Metode ini jauh lebih licik dibandingkan dengan langsung mengosongkan dompet. Malware tradisional seringkali melakukan serangan sekali jalan, mudah terdeteksi; sedangkan pemotongan “aliran kecil yang berkelanjutan” ini, jumlahnya kecil hingga bisa diabaikan, tetapi lama-lama bisa menjadi banyak. Yang lebih ironis, benda ini telah menipu hanya 15 orang sejak diluncurkan pada Juni tahun lalu, tetapi sudah cukup untuk membuktikan betapa besar celah keamanan di ekosistem ekstensi browser.

Jadi ingat: alat apa pun yang membuat Anda “transaksi dengan satu klik”, sebaiknya lihat dua kali apa yang sebenarnya diberikan izin sebelum menandatangani. Kemudahan dan keamanan, kadang-kadang memang sulit untuk didapatkan bersamaan.