Phishing dan Wallet Drainer: Cara Mengenali Penipuan Kripto Sejak Dini

Situs web palsu dan airdrop palsu

Phishing berarti menipu Anda agar menyerahkan akses dengan berpura-pura menjadi pihak yang Anda percayai. Di dunia kripto, versi klasiknya adalah tiruan situs bursa atau dompet asli dengan alamat yang sedikit berbeda: ada huruf tambahan, karakter yang ditukar, atau akhiran domain yang lain. Tiruan ini sering muncul sebagai hasil pencarian bersponsor atau sebagai tautan di balasan media sosial.

Airdrop palsu masih bersaudara dekat dengan trik ini. Airdrop adalah pembagian token gratis yang diadakan sebagian proyek. Penipu mengumumkan airdrop palsu, atau mengirim token tak bernilai ke dompet Anda dengan nama situs web tertulis di label token tersebut, berharap Anda mengunjungi situs itu untuk mengklaim hadiah. Tombol klaim itulah jebakannya.

Cara kerja wallet drainer

Wallet drainer (penguras dompet) adalah situs web atau skrip berbahaya yang dibuat untuk mengosongkan dompet Anda begitu Anda menyetujui sesuatu. Drainer jarang membutuhkan seed phrase Anda. Sebaliknya, drainer meminta Anda menandatangani transaksi atau pesan yang menyerahkan kendali atas token Anda.

• Persetujuan token (token approval): di Ethereum dan jaringan serupa, aplikasi meminta izin untuk membelanjakan token atas nama Anda. Situs berbahaya meminta izin tanpa batas, lalu memindahkan seluruh token tersebut keluar dari dompet Anda.
• Permintaan tanda tangan: sebagian pesan yang ditandatangani, seperti tanda tangan permit, bisa memberikan hak membelanjakan tanpa transaksi persetujuan terpisah. Permintaan ini bisa tampak seperti permintaan login yang tidak berbahaya.
• Transfer langsung: permintaan yang langsung mengirim aset Anda ke pihak lain, disamarkan sebagai mint, klaim, atau langkah verifikasi.

Begitu persetujuan atau tanda tangan diberikan, penyerang bisa memindahkan dana dalam hitungan menit, dan transaksi blockchain tidak bisa dibatalkan.

Address poisoning dan dukungan palsu

Address poisoning (peracunan alamat) memanfaatkan kebiasaan menyalin alamat dari riwayat transaksi. Penyerang membuat alamat yang beberapa karakter awal dan akhirnya sama dengan alamat yang sering Anda pakai, lalu mengirim transfer sangat kecil atau bernilai nol dari alamat itu agar muncul di riwayat Anda. Jika kemudian Anda menyalin alamat tiruan itu alih-alih alamat yang asli, dana Anda akan terkirim ke penipu. Periksa alamat secara lengkap, atau gunakan buku alamat yang tersimpan.

Dukungan palsu adalah jalur umum lainnya. Penipu memantau forum publik dan media sosial untuk mencari orang yang meminta bantuan, lalu membalas atau mengirim pesan pribadi dengan menyamar sebagai staf. Tim dukungan asli tidak menghubungi Anda lebih dulu lewat pesan langsung, dan tidak pernah meminta seed phrase, kata sandi, atau berbagi layar.

Memeriksa URL dan permintaan transaksi

• Simpan situs resmi yang Anda pakai sebagai bookmark dan buka hanya dari bookmark, bukan dari iklan, hasil pencarian, atau pesan.
• Baca nama domain secara lengkap sebelum menghubungkan dompet, dan periksa ejaannya huruf demi huruf.
• Baca setiap permintaan di dompet. Tanyakan apa yang Anda setujui, token apa, berapa jumlahnya, dan ke alamat atau kontrak mana.
• Waspadai persetujuan tanpa batas. Banyak dompet memungkinkan Anda mengubah jumlahnya menjadi sebatas yang Anda perlukan.
• Anggap desakan sebagai tanda bahaya. Hitung mundur, klaim kesempatan terakhir, dan ancaman penutupan akun adalah taktik menekan.
• Gunakan dompet terpisah berisi jumlah kecil untuk mencoba aplikasi baru, dan simpan tabungan di dompet lain, idealnya dompet perangkat keras.

Mencabut persetujuan dan apa yang harus dilakukan jika terkena

Persetujuan token tetap aktif sampai Anda menghapusnya. Block explorer untuk jaringan-jaringan utama, dan sebagian dompet, menyediakan pemeriksa persetujuan tempat Anda bisa melihat kontrak mana saja yang boleh membelanjakan token Anda dan mencabut (revoke) yang sudah tidak Anda pakai. Pencabutan itu sendiri adalah transaksi, jadi ada biaya jaringan kecil.

Jika Anda merasa telah menandatangani sesuatu yang berbahaya, bertindaklah cepat. Pindahkan sisa dana ke dompet baru yang dibuat dengan seed phrase baru di perangkat yang bersih. Cabut persetujuan di dompet yang terdampak, tetapi jangan kirim uang lagi ke dompet itu. Jika Anda pernah mengetik seed phrase di suatu tempat, anggap seluruh dompet itu sudah disusupi secara permanen. Laporkan situs penipuan ke penyedia dompet Anda dan ke platform tempat Anda menemukannya, lalu laporkan pencurian ke polisi setempat atau otoritas penanganan penipuan.

Tetap waspada setelahnya. Jasa pemulihan yang menjanjikan bisa mengembalikan kripto curian dengan biaya di muka sangat sering merupakan penipuan kedua yang menyasar korban yang sama.