Poin Utama
Menandatangani pesan adalah aspek penting dari transaksi di blockchain, tetapi jika tidak ditangani dengan hati-hati, itu bisa mengekspos pengguna pada risiko keamanan yang besar.
Fungsi ‘eth_sign’, yang memungkinkan pengguna untuk menandatangani pesan sembarangan, sangat rentan terhadap penyalahgunaan, yang memungkinkan penyerang untuk mendapatkan kontrol penuh atas aset korban.
Untuk melindungi diri Anda, selalu gunakan platform yang tepercaya, hindari menandatangani pesan yang tidak dikenal, dan tetap terinformasi tentang penipuan umum.
Bagi mereka yang menjelajahi ruang Web3, penandatanganan pesan sangat penting untuk mengotorisasi transaksi, memverifikasi identitas, dan berinteraksi dengan aplikasi terdesentralisasi (DApps). Misalnya, platform airdrop mungkin meminta pengguna untuk menandatangani pesan untuk membuktikan kepemilikan alamat dompet tertentu yang memenuhi syarat untuk airdrop. Meskipun proses ini memungkinkan banyak fungsi blockchain yang penting, ini juga memperkenalkan risiko keamanan yang signifikan.
Dalam artikel ini, kami menjelajahi potensi bahaya yang terkait dengan penandatanganan pesan di dan di luar blockchain, dan menyoroti skenario umum di mana pengguna dapat mengalami kerugian finansial sebagai akibat dari menandatangani pesan berbahaya.
Penandatanganan Pesan dan Transaksi: Memahami Perbedaannya
Di ruang terdesentralisasi, tanda tangan sangat penting untuk mengotorisasi transaksi dan berinteraksi dengan DApps. Mereka hadir dalam dua jenis utama: tanda tangan on-chain (transaksi) dan off-chain (pesan).
Tanda Tangan On-Chain (Menandatangani Transaksi)
Tanda tangan on-chain digunakan untuk mengotorisasi tindakan yang mengubah status blockchain, seperti mentransfer dana atau mengeksekusi kontrak pintar. Inilah cara kerjanya:
Pembuatan Pesan: Ketika seseorang memulai transaksi di blockchain, jaringan menghasilkan pesan yang terkait dengan transaksi tersebut, yang berisi informasi tentangnya, seperti alamat pengirim dan penerima, jumlah yang akan ditransfer, dan rincian relevan lainnya.
Menandatangani Pesan: Pengguna yang memulai transaksi "menandatangani" pesan ini dengan kunci pribadi mereka. Proses ini melibatkan penerapan algoritma kriptografi pada pesan dan kunci pribadi pengguna, yang menghasilkan tanda tangan digital.
Mengirim Pesan yang Ditandatangani: Pesan yang ditandatangani, bersama dengan pesan asli, dikirim ke jaringan.
Verifikasi: Jaringan memverifikasi tanda tangan menggunakan kunci publik pengguna yang melakukan transaksi, yang diambil dari kunci pribadi mereka tetapi dapat dibagikan dengan aman. Jika tanda tangan cocok dengan pesan dan kunci publik, itu mengonfirmasi bahwa pemegang akun telah mengotorisasi transaksi.
Pemrosesan Transaksi: Jika tanda tangan valid, jaringan memproses transaksi. Jika tidak, transaksi ditolak.
Ketika Anda menggunakan dompet crypto, proses penandatanganan transaksi biasanya terjadi secara otomatis di latar belakang. Sebagian besar dompet crypto modern menyediakan antarmuka yang ramah pengguna yang menyembunyikan detail teknis, sehingga Anda tidak melihat atau berinteraksi langsung dengan proses tersebut.
Tanda Tangan Off-Chain (Menandatangani Pesan)
Tanda tangan off-chain, di sisi lain, digunakan untuk tindakan yang tidak mempengaruhi status blockchain, seperti memverifikasi identitas pengguna, masuk ke DApp, atau memberikan otorisasi awal untuk transfer dana. Inilah cara kerjanya:
Pembuatan Tantangan: Aplikasi menghasilkan pesan unik yang berfungsi sebagai “tantangan” – permintaan bagi pengguna untuk mengautentikasi diri mereka dengan membuktikan bahwa mereka memiliki alamat yang bersangkutan. Pesan ini mungkin termasuk rincian spesifik terkait upaya login, seperti cap waktu atau nomor acak.
Pembuatan Tanda Tangan: Pengguna menandatangani pesan dengan kunci pribadi mereka, menciptakan tanda tangan digital. Tanda tangan ini berfungsi sebagai bukti bahwa mereka memiliki kunci pribadi yang terkait dengan dompet.
Verifikasi Tanda Tangan: Penerima memverifikasi tanda tangan menggunakan kunci publik Anda. Jika tanda tangan valid, itu mengonfirmasi identitas pengguna dan memberikan akses kepada mereka.
Ini adalah tanda tangan off-chain yang sering digunakan pengguna Web3 untuk berbagai tujuan – dan jenis tanda tangan inilah yang berpotensi disalahgunakan oleh kriminal.
Risiko: Otorisasi yang Tidak Dimaksudkan
Ada beberapa metode untuk menandatangani pesan, termasuk eth_sign, personal_sign, dan eth_signTypedData. Fungsi-fungsi ini memiliki tingkat keamanan yang bervariasi, dan tergantung pada dompet yang Anda gunakan, beberapa metode mungkin didukung atau tidak.
Fungsi eth_sign memungkinkan pengguna untuk menandatangani pesan sembarangan dengan kunci pribadi mereka, yang berpotensi menimbulkan risiko keamanan. Metode ini menggunakan format pesan mentah yang tidak dapat dibaca tanpa awalan atau konteks.
Karena ini, pengguna sering kali tidak memahami implikasi dari apa yang mereka tandatangani. Risiko terburuk adalah bahwa menandatangani pesan berbahaya dapat memberikan penyerang kontrol penuh atas aset Anda.
Metode personal_sign dirancang untuk lebih aman dan ramah pengguna. Ini memberi awalan pada pesan dengan string standar sebelum hashing dan menandatangani, membuatnya jelas bahwa pesan tersebut dimaksudkan untuk ditandatangani. Awalan ini membantu melindungi terhadap jenis serangan tertentu, seperti serangan replay, di mana pesan yang ditandatangani dapat digunakan kembali dalam konteks yang berbeda.
Metode eth_signTypedData digunakan untuk menandatangani data terstruktur, memberikan lebih banyak konteks dan kejelasan tentang apa yang ditandatangani. Ini memungkinkan pengembang untuk mendefinisikan struktur data yang ditandatangani, membuatnya lebih transparan dan lebih mudah dipahami.
Apa itu Phishing eth_sign?
Pada dasarnya, eth_sign adalah mekanisme kriptografi yang memungkinkan pengguna untuk menandatangani pesan sembarangan. Tanda tangan ini berfungsi sebagai bukti digital bahwa pemilik akun telah mengizinkan konten pesan tersebut. Namun, masalah muncul ketika pesan yang ditandatangani ini dapat diinterpretasikan dan dieksekusi oleh kontrak pintar dalam cara yang tidak langsung terlihat oleh pengguna. Pesan yang tampaknya merupakan rangkaian karakter yang tidak berbahaya dapat, pada kenyataannya, memberikan izin kepada penyerang untuk mengambil alih akun Anda sepenuhnya. Mari kita uraikan mekanisme serangan phishing eth_sign yang khas:
1. Persiapan: Penyerang sering kali membuat situs web atau aplikasi palsu yang meniru platform yang sah. Ini bisa berupa bursa terdesentralisasi, pasar NFT, atau layanan berbasis blockchain lainnya.
2. Pancingan: Pengguna dirayu untuk terhubung ke platform palsu ini melalui berbagai cara – email phishing, iklan menyesatkan, atau bahkan tautan palsu di grup media sosial. Penyerang sering kali menciptakan rasa urgensi, mengklaim bahwa pengguna perlu menandatangani dengan cepat untuk memanfaatkan tawaran terbatas waktu atau untuk mencegah beberapa konsekuensi negatif.
3. Umpan: Situs penyerang meminta pengguna untuk menandatangani pesan menggunakan eth_sign. Namun, pesan yang ditandatangani pengguna sangat berbeda dari yang mereka pikirkan. Itu bisa memberikan izin untuk melakukan tindakan jahat apa pun yang diinginkan penipu.
Taktik populer untuk mengeksploitasi penandatanganan pesan termasuk airdrop palsu; DApps jahat yang dibuat untuk terlihat sah tetapi satu-satunya tujuannya adalah untuk mencuri dana; layanan pencetakan NFT palsu; email phishing; menyamar sebagai dukungan pelanggan; dan membuat antarmuka jembatan lintas rantai palsu. Semua alat jahat ini bertujuan untuk membuat pengguna percaya bahwa mereka sedang menandatangani pesan yang sah, sementara pada kenyataannya, mereka memberikan akses kepada kriminal terhadap dana digital mereka.
Apa yang membuat serangan ini sangat berbahaya adalah bahwa mereka mengeksploitasi perilaku terlatih pengguna Web3 untuk menandatangani pesan untuk memverifikasi identitas mereka atau menyetujui tindakan. Banyak pengguna cenderung menandatangani pesan semacam itu tanpa sepenuhnya memahami implikasinya.
Contoh Kehidupan Nyata
Airdrop NFT Palsu
Penipu sering kali memanipulasi korban mereka dengan janji hadiah yang tidak terduga. Seorang pengguna dalam contoh kehidupan nyata ini menerima airdrop NFT yang tidak diminta di dompet mereka, dengan pengirim mengklaim bahwa pengguna telah memenangkan hadiah besar dan hanya perlu mengubah voucher NFT mereka menjadi uang.
Untuk mengklaim hadiah, pengguna dialihkan ke situs web yang terhubung untuk menandatangani pesan, yang disajikan dalam format heksadesimal yang tidak dapat dibaca. Menganggap ini sebagai bagian standar dari proses verifikasi, pengguna menandatangani. Namun, pesan ini adalah otorisasi yang disamarkan dengan cerdik yang memberikan penipu kontrol atas aset pengguna, yang mengakibatkan transfer yang tidak sah dari dompet mereka.
Tak lama setelah itu, pengguna menyadari bahwa sejumlah besar token sedang ditransfer keluar dari dompet mereka tanpa persetujuan mereka, menyadari terlambat bahwa mereka telah ditipu.
Poin Penting: Waspadai tawaran atau airdrop yang tidak diminta, terutama yang menjanjikan hadiah besar. Selalu verifikasi keaslian sumber sebelum mengambil tindakan lebih lanjut.
Penyamaran Proyek Terkenal
Penipu sering kali menyamar sebagai proyek atau akun terkemuka untuk menciptakan kesan kredibilitas. Dalam contoh ini, penjahat membuat akun palsu di X yang meniru akun resmi Baby Doge Coin. Peniru itu telah mendapatkan lencana verifikasi emas untuk menambah lapisan kredibilitas.
Akun palsu tersebut mengumumkan airdrop baru untuk pemegang Baby Doge Coin dan menyertakan tautan ke situs web di mana pengguna dapat mengklaim token baru tersebut. Postingan itu dengan cepat mendapatkan perhatian, yang menambah kesan legitimasi. Pengguna mengunjungi tautan yang diberikan, menghubungkan dompet mereka, dan menandatangani pesan untuk mengonfirmasi identitas mereka dan mengklaim airdrop.
Apa yang tidak diketahui para korban adalah bahwa pesan yang ditandatangani memberikan otorisasi untuk mentransfer token dari dompet mereka ke alamat penyerang. Kebanyakan pengguna baru menyadari itu adalah penipuan ketika mereka melihat token Baby Doge Coin mereka telah hilang dari dompet mereka.
Poin Penting: Selalu verifikasi keaslian akun media sosial yang Anda interaksi dan berhati-hatilah dengan pesan apa pun yang meminta tanda tangan Anda. Perbedaan kecil, seperti nama pengguna yang sedikit berbeda atau salah, adalah kunci untuk membedakan yang asli dari yang palsu. Dalam contoh ini, pegangan X akun penipu secara halus diubah agar hampir sama dengan yang asli, dengan satu vokal digandakan di akhir.
Airdrop Token Baru Palsu
Menciptakan rasa urgensi adalah taktik lain yang digunakan penipu untuk mendorong pengguna membuat keputusan terburu-buru. Dalam contoh ini, seorang pengguna yang menggulir umpan media sosial mereka melihat postingan dari proyek cryptocurrency yang tampaknya sah, mengumumkan airdrop baru untuk token yang disebut “Sunwaves.” Postingan tersebut mengklaim bahwa ada jendela waktu terbatas 24 jam untuk mengklaim airdrop.
Tertarik dengan pengumuman tersebut, pengguna mengunjungi situs web yang disebutkan dalam postingan, yang meminta mereka untuk menghubungkan dompet mereka dan menyelesaikan beberapa langkah verifikasi, termasuk menandatangani pesan untuk mengonfirmasi identitas mereka dan mengklaim airdrop.
Namun, pesan yang ditandatangani ini memberikan izin kepada penipu untuk mentransfer token dari dompet pengguna. Pengguna dengan cepat menyadari bahwa token, termasuk aset berharga, telah ditransfer keluar tanpa persetujuan mereka.
Poin Penting: Bersikap skeptis terhadap tawaran apa pun yang menciptakan rasa urgensi. Penipu sering kali menekan pengguna untuk bertindak cepat agar mereka tidak punya waktu untuk menilai dan memverifikasi keaslian tawaran tersebut.
Bagaimana Dompet Web3 Binance Menjaga Keamanan Anda
Untuk menghilangkan kemungkinan pengguna terjebak dalam penipuan eth_sign, fungsi ini dilarang di Dompet Web3 Binance. Apa artinya dalam praktik adalah bahwa setelah eth_sign dipicu untuk sebuah transaksi, pengguna akan segera diberi tahu bahwa transaksi ini sangat berisiko karena permintaan tanda tangan yang mungkin berbahaya. Menyelesaikan transaksi semacam itu tidak akan mungkin dilakukan.
Melindungi Diri Dari Penipuan
Untuk menghindari penipuan penandatanganan pesan di ruang Web3, sangat penting untuk mengambil langkah-langkah pencegahan:
1. Gunakan Platform Terpercaya: Hanya tandatangani pesan di platform yang Anda percayai. Jika sebuah platform tampak mencurigakan karena alasan apa pun, sebaiknya hindari.
2. Jangan Percaya Airdrop yang Tidak Diharapkan: Waspadai tawaran tidak diminta yang tampak terlalu bagus untuk menjadi kenyataan, terutama yang menjanjikan hadiah besar.
3. Verifikasi URL DApp: Selalu periksa bahwa URL itu sah sebelum berinteraksi dengan aplikasi terdesentralisasi. Penipu sering kali membuat URL yang mirip dengan yang asli.
4. Gunakan Dompet Aman: Gunakan dompet yang terpercaya yang menyediakan langkah-langkah keamanan terhadap pesan berbahaya. Misalnya, Dompet Web3 Binance telah melarang fungsi eth_sign untuk mencegah serangan semacam itu.
5. Tetap Terinformasi: Tetap mengikuti taktik penipuan terbaru dan praktik terbaik keamanan di ruang blockchain.
Pikiran Penutup
Menjelajahi ruang terdesentralisasi layanan dan aplikasi Web3 bisa menjadi petualangan yang luar biasa. Namun, lingkungan ini memiliki risikonya sendiri, yang mengharuskan pengguna untuk tetap waspada dan terinformasi. Penipu dapat mengeksploitasi alat seperti penandatanganan pesan dan penyamaran untuk melakukan transaksi yang tidak sah, yang mengakibatkan kerugian finansial yang signifikan. Dengan menyadari risiko ini dan mengadopsi beberapa praktik dan kebiasaan keamanan yang sederhana, Anda dapat melindungi diri sendiri. Selalu berhati-hati dan tetap waspada untuk memastikan keamanan aset Anda di ekosistem Web3.
Bacaan Lebih Lanjut
Lindungi Crypto Anda: Memahami Serangan Malware Global yang Sedang Berlangsung dan Apa yang Kami Lakukan untuk Menghentikannya
Cara Menghindari dan Melaporkan Penipuan Layanan Palsu
Binance Mencegah Kerugian Pengguna Potensial $2,4 Miliar di 2024 Sejauh Ini
Pernyataan Risiko: Cryptocurrency tunduk pada risiko pasar yang tinggi dan volatilitas harga. Anda hanya boleh berinvestasi dalam produk yang Anda kenal dan di mana Anda memahami risiko yang terkait. Anda harus mempertimbangkan pengalaman investasi, situasi keuangan, tujuan investasi, dan toleransi risiko Anda dengan hati-hati dan berkonsultasi dengan penasihat keuangan independen sebelum melakukan investasi. Materi ini tidak boleh ditafsirkan sebagai nasihat keuangan. Kinerja masa lalu bukanlah indikator yang dapat diandalkan untuk kinerja masa depan. Nilai investasi Anda dapat turun maupun naik, dan Anda mungkin tidak mendapatkan kembali jumlah yang Anda investasikan. Anda sepenuhnya bertanggung jawab atas keputusan investasi Anda. Binance tidak bertanggung jawab atas kerugian yang mungkin Anda alami. Untuk informasi lebih lanjut, silakan merujuk ke Ketentuan Penggunaan dan Peringatan Risiko kami. Ini adalah pengumuman umum. Produk dan layanan yang disebutkan di sini mungkin tidak tersedia di wilayah Anda.