Mereka mengelola beberapa akun untuk proyek yang sama, tetap tidak terdeteksi, dan memaksimalkan keuntungan dari airdrop seperti yang dilakukan Arbitrum, Aptos, Sui, dan lainnya.
“Dalam satu malam, Anda bisa membuat hingga 10 akun berkualitas. Ini bukan ilmu roket, ini hanya pekerjaan sehari-hari. Itulah mengapa banyak orang merasa FOMO karenanya,” kata Ilya, seorang warga Ukraina berusia 33 tahun yang sumber pendapatan utamanya berasal dari airdrop.
Ilya (dia meminta CoinDesk untuk mengubah namanya) juga memperdagangkan kripto untuk mendapatkan keuntungan, tetapi airdrop telah menyita sebagian besar waktunya selama beberapa bulan terakhir, katanya kepada saya melalui Zoom, berbicara dari “negara Eropa Selatan.”
Ilya adalah salah satu dari banyak pedagang kripto yang menghasilkan uang dari serangan Sybil pada airdrop token. Dengan kata lain, mereka membuat beberapa akun pada proyek blockchain yang diharapkan akan melakukan airdrop token, lalu mereka mengambil token sebanyak mungkin. (Serangan “Sybil” mendapatkan namanya dari buku tahun 1973 tentang seorang wanita dengan gangguan identitas disosiatif.)
Serangan tersebut mengeksploitasi kemampuan lemah proyek untuk mengidentifikasi dan menyingkirkan akun palsu serta menarik puluhan dan ratusan ribu dolar dari setiap airdrop. Setelah mereka mendapatkan token, mereka langsung menjualnya.
Balapan uang gratis
Proyek keuangan terdesentralisasi (DeFi) menggunakan airdrop – pemberian token gratis ke dompet anggota aktif komunitas blockchain – untuk menarik lebih banyak pengguna dan mendorong aktivitas di blockchain proyek, seperti menyediakan likuiditas ke bursa terdesentralisasi, berinteraksi dengan kontrak pintar, dan transaksi lainnya.
Dengan airdrop, proyek mencoba mengidentifikasi dan memberi penghargaan kepada pengguna aktif tanpa memberikan token kepada orang-orang yang telah membuat akun pada menit terakhir sebelum airdrop untuk mengambil token tanpa benar-benar terlibat dengan proyek. Setelah mereka mendapatkan token, orang-orang ini segera menjualnya, yang menyebabkan harga token turun.
Penyerang Sybil terus mencoba mengelabui sistem, meniru aktivitas blockchain yang sehat dari beberapa akun milik satu orang atau satu tim. Dengan demikian, penyelenggaraan airdrop menjadi permainan pukul-pukul-tikus tanpa akhir bagi proyek – dan mereka jauh dari kata menang.
Misalnya, selama airdrop baru-baru ini untuk protokol penskalaan Ethereum Arbitrum, pengguna dan entitas yang mengendalikan beberapa alamat menerima hampir 48% dari semua token yang didistribusikan, menurut para peneliti.
Sybil jutawan
Ilya berusia 33 tahun, dan spekulasi kripto telah menjadi pekerjaan utamanya selama enam tahun terakhir. "Saya mulai menekuninya pada akhir tahun 2016, sebelum tren ICO," katanya. Ia dulunya adalah pemilik usaha kecil, berdagang gandum di Ukraina, sebelum terjun ke pemasaran daring. Ketika ia belajar tentang kripto, semuanya berubah. Ia berinvestasi dalam beberapa penawaran koin awal dan keuntungannya meningkat sepuluh kali lipat.
Setelah kehebohan ICO mereda, muncul penawaran bursa perdana (IEO), lalu tren DeFi 2020, lalu obsesi token non-fungible (NFT). Jika Anda mengikuti tren, kata Ilya, itu hanyalah pemberian uang cuma-cuma, sementara airdrop hanyalah peluang terbaru yang sedang naik daun.
Satu orang yang saya kenal mendapat 200.000 token dari beberapa ribu akun
“Airdrop adalah cara yang lebih aman secara hukum untuk mendistribusikan token proyek daripada ICO,” kata Igor Pertsiya, pendiri dana ventura Hypra. Ia mengatakan penyerang Sybil yang sangat cekatan dapat membawa kabur hingga beberapa juta dolar dalam bentuk kripto dari satu airdrop, yang menargetkan proyek seperti Ethereum Name Service (ENS), Sui, Aptos, dan lainnya.
"Saya tahu orang-orang yang menghasilkan $1 juta hingga $2 juta hanya dari Arbitrum," kata Pertsiya kepada CoinDesk. "Tidak seperti ICO, yang banyak di antaranya bekerja lebih seperti [skema] Ponzis, para peserta airdrop tidak banyak membicarakannya karena semakin banyak orang yang ingin bergabung, semakin sedikit yang akan mereka dapatkan."
Buktinya bukan hanya anekdotal. Peneliti blockchain telah menemukan dompet kripto yang mengumpulkan token Arbitrum ARB senilai lebih dari $1 juta dari berbagai dompet lain, yang menunjukkan bahwa dompet tersebut milik orang yang sama. Dalam beberapa kasus, dompet tersebut ternyata milik penipu phishing, yang baru saja menyedot dana dari beberapa dompet korban, seperti yang ditemukan kemudian.
Beberapa pengguna multi-akun mengumpulkan jumlah token yang lebih sedikit. Peneliti menemukan setidaknya 198 alamat yang mengumpulkan dana dari beberapa alamat lain setelah snapshot saldo diambil dan daftar dompet yang memenuhi syarat dikonfirmasi.
‘Bukan ilmu roket’
Ilya bukanlah salah satu jutawan Arbitrum tersebut, katanya. Beberapa akunnya terdeteksi sebagai bagian dari serangan Sybil dan dikecualikan dari airdrop. Namun, lima akun yang ia buat berhasil menerima 20.000 token ARB – hampir dua kali lipat jumlah maksimum yang bisa didapatkan satu akun selama airdrop (10.250 token).
Ilya tidak ragu menjual token tersebut seharga $1,40 per token, demi keuntungan yang jauh melebihi pengeluarannya: untuk mempertahankan satu akun berkualitas yang tidak akan dipotong, ia perlu membayar sekitar $50 dalam biaya gas untuk transaksi di jaringan tersebut, katanya.
“Seseorang yang saya kenal mendapat 200.000 token dari beberapa ribu akun. Dia punya tim yang masing-masing mengelola 500 akun,” kata Ilya.
Ilya hanya memiliki satu karyawan yang membantunya mengelola akun, yang dibayar dengan gaji rutin dan pembagian keuntungan dari airdrop. Ilya mengatakan keahlian teknis tidak diperlukan untuk mengenali airdrop yang menguntungkan. Jika Anda dapat menganalisis dinamika sosial dan merasakan tren selanjutnya, itu sudah cukup.
Dalam satu malam, Anda bisa membuat hingga 10 akun berkualitas. Ini bukan ilmu roket, ini hanya pekerjaan sehari-hari
Menjaga akun-akun tersebut tetap aktif bukanlah "ilmu roket", dan bahkan anak-anak sekolah menengah dapat mengelola sejumlah dompet blockchain yang layak untuk menghasilkan uang dari airdrop. "Saya kenal beberapa orang yang bahkan belum berusia 18 tahun, masing-masing mengelola 150 akun, dan salah satu dari mereka baru-baru ini menghasilkan $500.000 dari airdrop," katanya.
“Generasi muda berusia 20 tahun melewatkan masa kejayaan ICO, dan kini datang gelombang baru kaum muda yang haus akan ICO,” kata Pertsiya.
Mempertaruhkannya
Anda tidak pernah tahu proyek apa yang akan menghasilkan token suatu hari nanti, jadi para pemburu airdrop memantau beberapa proyek yang tampaknya menjanjikan. Kriteria?
"Harusnya sudah dikenal luas, dengan banyak dana yang terkumpul, banyak pengembang dan investor bereputasi baik, banyak sensasi di sekitarnya, dan relevan dengan apa yang terjadi di dunia kripto saat ini," kata Ilya. Proyek yang memenuhi kriteria ini saat ini termasuk zksynk, StarkNet, dan LayerZero, dan segala hal yang terkait dengan penskalaan Ethereum, menurutnya.
Sambil menunggu airdrop, para pemburu tersebut berisiko kehilangan uang mereka jika proyek tersebut diretas dan semua likuiditasnya terkuras habis. Protokol DeFi telah menjadi target favorit para peretas dan merugi $2 miliar pada tahun 2022 saja, menurut perusahaan analitik blockchain Chainalysis. Jembatan lintas rantai khususnya tampaknya menjadi salah satu target serangan yang paling menarik.
“Orang-orang akan mengalirkan likuiditas dengan harapan akan ada airdrop [di masa mendatang], dan kemudian jembatan itu diretas dan beberapa peretas berhasil membawa kabur $5.000 milik Anda,” kata Ilya. Ia tidak ingat kehilangan banyak uang dalam serangan semacam itu, kata Ilya, tetapi orang-orang yang ia kenal memiliki token senilai hingga $10.000 dalam protokol pinjaman Euler yang baru-baru ini dieksploitasi. Setidaknya penyerang tersebut mengajukan diri untuk mengembalikan dana tersebut.
Memburu para pemburu
Alex Momot, CEO perusahaan rintisan kripto Peanut Trade, mengatakan timnya telah memantau serangan Sybil pada airdrop dengan saksama. Salah satu layanan yang disediakan Peanut adalah membantu proyek DeFi menghindari penyalahgunaan tersebut. Biasanya, taktik pemburu airdrop cukup sederhana, katanya: Lakukan transaksi seminimal mungkin dengan jumlah token yang minimal hanya untuk melewati ambang batas kelayakan.
Pemburu sering kali mendanai dompet mereka dengan menarik uang dari bursa terpusat. Karena semua penarikan tersebut diproses dari dompet panas bursa, yang mengumpulkan koin dari banyak pengguna di satu tempat, mustahil untuk mengetahui siapa sebenarnya yang menarik token. Hal ini mempersulit identifikasi dompet yang menerima pendanaan dari dompet yang sama dan dengan demikian, tampaknya, dimiliki oleh pemilik yang sama.
Namun, masih ada cara untuk mengecualikan pemburu airdrop dengan beberapa akun dari distribusi. Misalnya, proyek dapat memangkas semua dompet yang nyaris tidak melewati ambang batas.
"Di satu sisi, bukan hal yang buruk jika proyek mendapatkan perhatian, bahkan dengan cara ini, tetapi mereka tertarik untuk menciptakan komunitas nyata dan mendapatkan perhatian nyata," kata Momot. "Hal terburuk adalah, proyek kehilangan jutaan kapitalisasi pasar pada saat pencatatan di bursa [karena] pengguna tersebut langsung menjual."