Bybit, bursa cryptocurrency terbesar kedua di dunia berdasarkan volume perdagangan, melaporkan bahwa Security Operations Center (SOC) mereka mengungkap temuan yang merinci kampanye malware multi-tahap yang canggih yang menargetkan pengguna macOS yang mencari "Claude Code", sebuah alat pengembangan bertenaga AI dari Anthropic.
Laporan ini menjadi salah satu pengungkapan pertama yang diketahui dari bursa kripto tersentralisasi (CEX) mengenai kampanye ancaman aktif yang menargetkan pengembang melalui kanal penemuan alat AI, menegaskan peran sektor ini yang semakin besar di garis depan intelijen keamanan siber.
Pertama kali diidentifikasi pada Maret 2026, kampanye ini menggunakan teknik search engine optimization (SEO) poisoning untuk mengangkat domain berbahaya ke puncak hasil pencarian Google. Pengguna diarahkan ke halaman instalasi palsu yang dirancang sangat mirip dengan dokumentasi resmi, memicu rantai serangan dua tahap yang berfokus pada pencurian kredensial, penargetan aset kripto, dan akses sistem yang persisten.
Payload awal, yang dikirimkan melalui dropper Mach-O, memasang infostealer berbasis osascript yang menunjukkan karakteristik mirip dengan varian AMOS dan Banshee yang sudah dikenal. Malware ini mengeksekusi rangkaian pengaburan multi-fase untuk mengekstrak data sensitif termasuk kredensial browser, entri macOS Keychain, sesi Telegram, profil VPN, dan informasi dompet cryptocurrency. Peneliti Bybit mengidentifikasi upaya akses terarah terhadap lebih dari 250 ekstensi dompet berbasis browser dan beberapa aplikasi dompet desktop.
Payload tahap kedua memperkenalkan backdoor berbasis C++ dengan kemampuan pengelakan tingkat lanjut, termasuk deteksi sandbox dan konfigurasi runtime terenkripsi. Malware ini membangun persistensi melalui agen tingkat sistem dan memungkinkan eksekusi perintah jarak jauh melalui polling berbasis HTTP, memberikan penyerang kendali berkelanjutan atas perangkat yang terkompromi.
SOC Bybit memanfaatkan alur kerja berbantuan AI di seluruh siklus hidup analisis malware, secara signifikan mempercepat waktu respons sekaligus mempertahankan kedalaman analitis. Triage awal dan klasifikasi sampel Mach-O diselesaikan dalam hitungan menit, dengan model yang menandai kesamaan perilaku dengan keluarga malware yang sudah dikenal.
Rekayasa balik dan analisis alur kontrol berbantuan AI mengurangi waktu yang dibutuhkan untuk pemeriksaan mendalam terhadap backdoor tahap kedua dari perkiraan enam hingga delapan jam menjadi kurang dari 40 menit. Pada saat yang sama, pipeline ekstraksi otomatis mengidentifikasi indikator kompromi (IOC) – termasuk infrastruktur command-and-control, tanda tangan file, dan pola perilaku – dan memetakannya ke kerangka ancaman yang sudah mapan.
Kapabilitas ini memungkinkan penerapan langkah deteksi di hari yang sama. Pembuatan aturan berbantuan AI mendukung pembuatan tanda tangan ancaman dan aturan deteksi endpoint, yang kemudian divalidasi analis sebelum diterapkan ke lingkungan produksi. Draft laporan yang dihasilkan AI semakin mengurangi waktu penyusunan, memungkinkan keluaran intelijen ancaman diselesaikan sekitar 70% lebih cepat dibanding alur kerja tradisional.
"Sebagai salah satu bursa kripto pertama yang secara publik mendokumentasikan jenis kampanye malware ini, kami percaya bahwa berbagi temuan ini sangat penting untuk memperkuat pertahanan kolektif di seluruh industri," kata David Zong, Head of Group Risk Control and Security di Bybit. "SOC berbantuan AI kami memungkinkan kami beralih dari deteksi ke visibilitas penuh rantai kill chain dalam satu jendela operasional. Hal-hal yang dulu membutuhkan tim analis yang bekerja bergantian beberapa shift – dekompilasi, ekstraksi IOC, penyusunan laporan, penulisan aturan – kini diselesaikan dalam satu sesi dengan AI yang menangani pekerjaan berat dan analis kami memberikan penilaian serta validasi."
Investigasi juga mengungkap taktik rekayasa sosial, termasuk prompt kata sandi macOS palsu yang digunakan untuk memvalidasi dan meng-cache kredensial pengguna. Dalam beberapa kasus, penyerang mencoba menggantikan aplikasi dompet kripto resmi seperti Ledger Live dan Trezor Suite dengan versi trojan yang di-host pada infrastruktur berbahaya.
Malware menargetkan berbagai lingkungan, termasuk browser berbasis Chromium, varian Firefox, data Safari, Apple Notes, dan direktori file lokal yang umum digunakan untuk menyimpan data keuangan atau autentikasi yang sensitif.
Bybit mengidentifikasi beberapa domain dan endpoint command-and-control yang terkait dengan kampanye ini, yang semuanya telah dinonaktifkan untuk keperluan pengungkapan publik. Analisis menunjukkan bahwa penyerang mengandalkan polling HTTP berkala alih-alih koneksi persisten, sehingga membuat deteksi menjadi lebih menantang.
Insiden ini mencerminkan tren yang berkembang di mana penyerang menargetkan pengembang melalui hasil pencarian yang dimanipulasi, khususnya ketika alat AI semakin diadopsi secara luas. Pengembang tetap menjadi target bernilai tinggi karena akses mereka ke codebase, infrastruktur, dan sistem keuangan.
Bybit mengonfirmasi bahwa infrastruktur berbahaya diidentifikasi pada 12 Maret, dengan analisis penuh, mitigasi, dan langkah deteksi diselesaikan pada hari yang sama. Pengungkapan publik menyusul pada 20 Maret, disertai panduan deteksi terperinci.
#Bybit / #CryptoArk / #NewFinancialPlatform
Tentang Bybit
Bybit adalah bursa cryptocurrency terbesar kedua di dunia berdasarkan volume perdagangan, yang melayani komunitas global lebih dari 80 juta pengguna. Didirikan pada 2018, Bybit mendefinisikan ulang keterbukaan di dunia terdesentralisasi dengan menciptakan ekosistem yang lebih sederhana, terbuka, dan setara bagi semua orang. Dengan fokus kuat pada Web3, Bybit bermitra secara strategis dengan protokol blockchain terkemuka untuk menyediakan infrastruktur yang tangguh dan mendorong inovasi on-chain. Terkenal dengan kustodi yang aman, beragam marketplace, pengalaman pengguna yang intuitif, dan alat blockchain canggih, Bybit menjembatani kesenjangan antara TradFi dan DeFi, memberdayakan para builder, kreator, dan penggemar untuk membuka potensi penuh Web3. Temukan masa depan keuangan terdesentralisasi di Bybit.com.
Untuk detail lebih lanjut tentang Bybit, silakan kunjungi Bybit Press
Untuk pertanyaan media, silakan hubungi: [email protected]
Untuk pembaruan, silakan ikuti: Bybit's Communities and Social Media
Discord | Facebook | Instagram | LinkedIn | Reddit | Telegram | TikTok | X | Youtube
