Modus Baru Korea Utara: Menyusup ke Blockchain Lewat Pekerja Palsu

Saat dunia sibuk memperkuat sistem keamanan blockchain dari serangan teknis, ancaman baru datang dari sisi yang tak terduga: identitas palsu. Pemerintah Amerika Serikat baru saja menjatuhkan sanksi terhadap dua individu dan empat entitas yang diduga merupakan bagian dari skema besar Korea Utara yang mengirim ribuan tenaga kerja IT ke perusahaan blockchain internasional dengan identitas palsu, demi mencuri aset dan mendanai program misil mereka.

Strategi Korea Utara ini bukan hanya peretasan biasa. Ini adalah infiltrasi. Mereka menempatkan “pekerja bayangan” di balik laptop, berperan sebagai profesional freelance global, menyamar sebagai warga Amerika atau Eropa, lalu perlahan masuk ke sistem internal perusahaan kripto. Dalam banyak kasus, para pekerja ini tidak hanya menerima gaji dalam kripto, tetapi juga memiliki akses ke infrastruktur, source code, bahkan dompet digital proyek-proyek sensitif.

Dari Peretas ke Penipu Identitas

Laporan dari TRM Labs menyebut bahwa Korea Utara kini mulai berpindah dari metode klasik seperti exchange breaches ke pendekatan yang lebih halus dan sulit dilacak: infiltrasi berbasis identitas palsu. Mereka memanfaatkan platform rekrutmen global, jaringan profesional seperti LinkedIn, dan bahkan profil GitHub untuk menciptakan citra pekerja profesional.

Dengan jaringan perusahaan fiktif di Rusia dan China, ribuan tenaga kerja ini masuk ke pasar tenaga kerja digital. Mereka menargetkan perusahaan blockchain kecil hingga menengah, yang umumnya belum memiliki prosedur verifikasi identitas yang kuat.

Jika sebelumnya kita khawatir dompet digital diretas oleh script atau malware, kini yang harus diwaspadai adalah kode yang ditulis oleh “pekerja” itu sendiri.

Ekosistem Web3 Rentan oleh Trust Culture

Salah satu daya tarik dunia Web3 adalah prinsip kepercayaan terbuka. Banyak startup blockchain yang berkembang pesat dengan tim global tanpa pernah bertemu secara fisik. Dalam ekosistem yang menjunjung transparansi dan desentralisasi, proses rekrutmen pun sering dilakukan dengan cepat dan tanpa lapisan birokrasi.

Namun justru di situlah kerentanannya. Banyak proyek merekrut developer, auditor smart contract, atau desainer UI secara remote. Mereka dinilai dari kontribusi GitHub atau hasil kerja, bukan dari siapa mereka sebenarnya. Ini menciptakan celah besar bagi aktor jahat untuk masuk ke jantung proyek, bukan sebagai penyerang, tetapi sebagai bagian dari tim itu sendiri.

Pelajaran bagi Proyek Blockchain Indonesia

Bagi ekosistem kripto di Indonesia, peristiwa ini harus menjadi alarm keras. Saat banyak proyek lokal tumbuh dan merekrut developer lepas, risiko diretas dari dalam kini menjadi nyata. Bahkan dengan kontrak kerja yang sah, siapa yang menjamin bahwa developer tersebut bukan bagian dari jaringan infiltrasi?

Kita butuh kebijakan yang lebih tegas. Perusahaan berbasis blockchain harus mulai menerapkan KYC bukan hanya pada pengguna, tapi juga pada tim internal, terutama mereka yang memiliki akses ke dompet multisig, smart contract deployer, atau sistem backend.

Platform rekrutmen digital seperti Upwork, Freelancer, atau bahkan Discord developer channels harus digunakan dengan lebih hati-hati. Audit latar belakang dan digital fingerprint verification bisa menjadi langkah awal yang penting.

Regulasi Kripto Tidak Bisa Fokus pada Investor Saja

Selama ini, narasi regulasi kripto terlalu fokus pada perlindungan investor. Padahal, ancaman terbesar justru datang dari sisi infrastruktur dan sumber daya manusianya. Kasus Korea Utara membuktikan bahwa regulasi perlu diperluas ke aspek keamanan internal, rekrutmen global, dan deteksi penyusupan.

Indonesia harus mendorong penyusunan pedoman keamanan internal untuk semua proyek kripto, baik berbasis token maupun NFT. Bappebti dan OJK, bersama komunitas developer, dapat membuat framework “safe hiring practice” dalam dunia Web3. Jika tidak, proyek lokal akan terus menjadi sasaran empuk infiltrasi pihak asing.

Menjawab Tantangan Global dengan Kolaborasi

Isu ini tidak bisa ditangani sendiri. Indonesia perlu ikut serta dalam kolaborasi internasional untuk mengatasi kejahatan siber berbasis blockchain. Forum kerja sama dengan negara mitra seperti Singapura, Korea Selatan, Jepang, atau AS dapat mempercepat pertukaran intelijen dan penyusunan blacklist terhadap wallet atau identitas yang terafiliasi dengan skema seperti ini.

Proyek global seperti Chainalysis, TRM Labs, hingga slowmist juga membuka banyak peluang kolaborasi untuk audit data dan investigasi lintas negara. Indonesia dapat mengambil peran lebih aktif untuk memetakan transaksi mencurigakan yang terhubung ke wallet atau domain terlarang.

Masa Depan Blockchain Tidak Cukup Aman Tanpa Etika dan Identitas

Ekosistem blockchain dibangun atas dasar kepercayaan dan transparansi. Namun kepercayaan tanpa verifikasi adalah pintu terbuka untuk ancaman tersembunyi. Identitas digital kini harus menjadi bagian dari tata kelola Web3, sebagaimana audit menjadi bagian dari smart contract.

Ke depan, proyek yang tidak memiliki standar rekrutmen dan audit internal akan tertinggal—baik dari sisi keamanan maupun kepercayaan komunitas. Kita tidak bisa lagi hanya menilai developer dari seberapa bagus kodenya, tapi juga siapa dia, dari mana asalnya, dan apa rekam jejak digitalnya.

Di Era Kripto, Penyerang Tidak Lagi Menyerang dari Luar

Kasus Korea Utara memberi satu pesan penting: penyerang hari ini tidak lagi meretas dari luar, tetapi menyusup dari dalam. Mereka tidak memakai topeng digital, tapi wajah pekerja profesional. Mereka tidak menembus pertahanan, tapi masuk lewat pintu rekrutmen.

Ekosistem kripto Indonesia tidak boleh menunggu giliran menjadi korban. Sudah saatnya kita membangun sistem keamanan bukan hanya untuk pengguna, tapi juga dari dalam tim kita sendiri.

Related Stories