Agen belanja berbasis AI ORO pada 21 Juli mengungkapkan di platform X bahwa perusahaannya diduga menjadi korban serangan peretas dari Korea Utara. Pada 13 Juli, ORO mengalami kerugian 14,7 juta token Alpha, dengan nilai sekitar 63.000.0 dolar AS. Pelaku menyerang melalui pembobolan akun Telegram milik kontak legal karyawan ORO, lalu mengirim tautan rapat palsu untuk membujuk karyawan agar memasang ekstensi berbahaya. Setelah mengumpulkan data selama hampir sebulan, pelaku baru melakukan pencurian.
Modus operandi: tautan palsu Microsoft Teams, ekstensi berbahaya, dan pengumpulan data selama hampir sebulan
Berdasarkan laporan analisis forensik pasca-incident yang dipublikasikan ORO, rangkaian lengkap serangan ini adalah sebagai berikut:
Februari 2025: Karyawan ORO bertemu seorang kontak dalam sebuah konferensi industri, dan keduanya membangun hubungan komunikasi yang normal di Telegram
Mei 2026: Akun Telegram yang diduga dibobol peretas secara aktif menghubungi karyawan ORO, mengundang mereka untuk panggilan video
Mei 2026 hingga Juli 2026: Karyawan ORO mencoba bergabung ke panggilan menggunakan tautan yang meniru Microsoft Teams, namun tidak ada suara; setelah panggilan, komputer menampilkan pesan “Perbarui Microsoft Teams”, lalu karyawan menerimanya dan memasang ekstensi berbahaya. Ekstensi tersebut melacak input keyboard, riwayat clipboard, mengambil tangkapan layar, serta dapat mengubah alamat dompet kripto. Pelaku diam-diam mengumpulkan data selama hampir sebulan sebelum melakukan pencurian
13 Juli 2026: Pelaku mencuri 14,7 juta token Alpha (sekitar 63.000.0 dolar AS) dari dompet kripto ORO
ORO mengakui kelalaian keamanan: dukungan dompet perangkat keras Bittensor yang kurang menyebabkan kunci dompet perangkat lunak dicuri
Dalam pernyataannya, ORO mengakui bahwa demi menyesuaikan masalah “dukungan luas yang kurang” untuk dompet perangkat keras bagi protokol Bittensor, perusahaan “sementara” menetapkan kunci milik ke dompet perangkat lunak, alih-alih mengikuti prinsip keamanan internal yang memprioritaskan dompet perangkat keras.
Pernyataan tersebut menyebut: “Justru karena alasan inilah data bisa dicuri dari mesin yang telah disusupi. Ini tidak dapat dimaafkan, dan ini adalah kesalahan kami.” ORO menegaskan bahwa kunci tanda tangan verifikator di dompet perangkat keras “tidak pernah bocor”, jaringan subnet berjalan sepenuhnya normal, dan data dompet lain serta data pengguna lain tidak terpengaruh.
Dugaan pelaku Sapphire Sleet: dukungan dari IP, muatan berbahaya, dan catatan intelijen ancaman Microsoft
ORO menyatakan bahwa berdasarkan tiga indikator teknis dengan “keyakinan tinggi”, serangan ini berasal dari kelompok peretas yang didukung negara Korea Utara Sapphire Sleet: alamat IP yang ditunjukkan oleh beacon yang dikirim dari perangkat yang dibobol, muatan berbahaya yang cocok, serta tumpang tindih infrastruktur dengan catatan yang sebelumnya dibuat oleh divisi intelijen ancaman Microsoft.
Laporan intelijen ancaman Microsoft menyebutkan bahwa Sapphire Sleet ahli memanfaatkan serangan rekayasa sosial dengan tema Teams, menargetkan fokus pada macOS, serta memancing pengguna agar menjalankan berkas berbahaya secara manual melalui pembaruan perangkat lunak yang dipalsukan guna menghindari mekanisme keamanan bawaan di macOS.
Pertanyaan yang sering diajukan
Apakah insiden pencurian token Alpha ORO memengaruhi aset pengguna lain?
Berdasarkan pernyataan resmi ORO, serangan ini hanya memengaruhi dompet perangkat lunak tertentu milik perusahaan (karena pengaturan sementara yang tidak menggunakan dompet perangkat keras). Dompet lain, data pengguna, data subnet, serta kunci tanda tangan verifikator di dompet perangkat keras tidak terpengaruh; ORO menyatakan bahwa subnet-nya saat ini berjalan sepenuhnya normal.
Mengapa ORO menilai serangan ini berasal dari Sapphire Sleet?
Dalam laporan analisis pasca-incident, ORO menyebut bahwa berdasarkan alamat IP yang ditunjukkan oleh beacon yang dikirim dari perangkat yang dibobol, muatan berbahaya yang cocok, serta tumpang tindih infrastruktur dengan catatan sebelumnya dari divisi intelijen ancaman Microsoft, perusahaan memiliki “keyakinan tinggi” bahwa pelaku adalah anggota Sapphire Sleet; Sapphire Sleet adalah kelompok peretas yang didukung negara Korea Utara.
Dalam peristiwa serangan ORO ini, apa tanggung jawab keamanan ORO sendiri?
ORO mengakui bahwa karena kurangnya dukungan dompet perangkat keras dalam protokol Bittensor, perusahaan “sementara” melanggar prinsip keamanan internal, dengan menetapkan kunci pemilik sebagai dompet perangkat lunak alih-alih dompet perangkat keras. Hal itu menyebabkan kunci dicuri setelah komputer dibobol; ORO dalam pernyataannya menyebut ini sebagai “kesalahan yang tidak dapat dimaafkan” dan meminta maaf secara resmi.
