Dalam dunia Web3, tidak peduli apakah Anda pemain biasa, investor bernilai tinggi, atau pihak proyek, salah satu risiko yang tidak dapat dihindari adalah penipuan.
Menurut laporan yang diterbitkan Chainalysis (Laporan Kejahatan Crypto Chainalysis 2025), total kejahatan on-chain di seluruh dunia pada tahun 2024 mencapai $24 miliar, di mana:
Skala transaksi terkait penipuan mencapai $9,9 miliar, terutama skema pembunuhan babi, situs phishing, dan proyek investasi palsu yang sangat sering terjadi;
Jumlah pencurian dana melebihi $2,2 miliar, lebih dari 60% berasal dari kebocoran kunci pribadi dan phishing rekayasa sosial;
Serangan ransomware, manipulasi pasar, dan aktivitas kriminal lainnya juga semakin sering terjadi.
Namun, ketika melihat kembali kasus-kasus ini, Anda akan menemukan kesamaan yang perlu diwaspadai - tidak peduli seberapa banyak teknologi ditingkatkan, celah akhirnya adalah 'manusia' itu sendiri.
Benar, 'senjata standar' kejahatan on-chain adalah serangan rekayasa sosial yang ingin dibahas oleh Portal Labs.
Apa itu serangan rekayasa sosial?
Namun kenyataannya, yang paling mudah ditembus bukanlah teknologi, melainkan sifat manusia.
Inilah inti dari serangan rekayasa sosial (Social Engineering Attack).
Serangan rekayasa sosial tidak bergantung pada kerentanan di tingkat kode, tetapi melalui penyamaran, godaan, dan manipulasi, membuat Anda secara sukarela menyerahkan informasi sensitif atau melakukan tindakan berbahaya.
Dibandingkan dengan serangan teknologi yang memiliki ambang batas tinggi, serangan rekayasa sosial memiliki biaya rendah dan tingkat keberhasilan tinggi. Baik itu penipuan, pencurian dana, atau pemerasan, langkah pertama dari sebagian besar kasus adalah membuat Anda sendiri mengklik 'konfirmasi'.
Merangkum semua taktik rekayasa sosial, sebenarnya semuanya tidak terlepas dari tiga taktik berikut:
Menyamar sebagai otoritas. Menyamar sebagai layanan pelanggan, petugas resmi, atau mitra, dengan identitas yang 'terlihat terpercaya' untuk mengurangi kewaspadaan Anda.
Menciptakan rasa urgensi. Ketidaknormalan akun, airdrop token, peluang investasi eksklusif... membuat Anda terjebak dalam psikologi 'jika tidak bertindak sekarang, Anda akan rugi'.
Membangun siklus kepercayaan. Mengundang Anda ke grup palsu, menyamar sebagai teman atau KOL, mencuci otak kelompok, menggoda Anda untuk terjebak satu langkah demi satu langkah.
Perlu dicatat bahwa serangan rekayasa sosial sedang berkembang menuju sistematisasi dan profesionalisasi.
Chainalysis juga mencatat bahwa dalam tiga tahun terakhir, kelompok penipuan secara bertahap mengadopsi teknologi AI face swap, analisis big data, dan otomatisasi penargetan, merancang percakapan dan proses yang disesuaikan untuk berbagai kelompok pengguna.
Di masa depan, mungkin hanya mengandalkan kewaspadaan individu tidak cukup untuk mencegah semua risiko, solusi keamanan sistematis, manajemen risiko lintas rantai, dan isolasi izin inti akan menjadi 'konfigurasi standar' bagi pemain bernilai tinggi dan pihak proyek.
Skenario dan kasus nyata yang khas
Berbeda dengan serangan berbasis teknologi, serangan rekayasa sosial memiliki target yang jelas, biasanya ditujukan kepada individu atau orang tertentu dalam organisasi. Hacker akan menyesuaikan percakapan dan merancang skenario berdasarkan kebiasaan perilaku kelompok yang berbeda di Web3, untuk secara tepat melakukan penipuan. Taktik yang umum meliputi beberapa kategori berikut:
Ditujukan untuk pemain biasa
Taktik yang paling umum adalah 'menyamar sebagai layanan pelanggan resmi', yang secara proaktif menghubungi Anda untuk mengklaim ada ketidaknormalan pada akun, bahwa dana dibekukan, dan perlu memverifikasi frasa pemulihan atau melakukan operasi untuk membebaskan, lalu aset Anda akan segera dipindahkan.
Baru-baru ini, otoritas Australia telah menindak kelompok penipu yang menyamar sebagai bursa kripto Binance, di mana penipu tersebut mengarahkan korban untuk menelepon hotline palsu dan memindahkan dana ke dompet yang dikendalikan hacker.
Selain itu, tautan phishing bertema 'airdrop gratis' atau 'kupon NFT' juga sering ditemukan. Kasus Crypto Drainers yang disebutkan dalam laporan Chainalysis sebagian besar termasuk dalam kategori ini, di mana pada Januari 2024 terjadi insiden penipuan yang sangat menggelikan. Saat itu, penipu berhasil membobol akun media sosial Sekretaris Komisi Sekuritas dan Bursa AS (SEC), menerbitkan airdrop palsu, dan menggoda pengguna untuk menghubungkan dompet mereka untuk menerima token palsu, yang berujung pada pencurian aset.
Ada juga 'grup perdagangan palsu' yang umum, terutama aktif di Telegram dan Discord. Penyerang biasanya menyamar sebagai petugas resmi atau mencuri akun teman untuk mengundang Anda bergabung, dan hampir semua orang di dalam grup kecuali Anda adalah penipu atau robot, mereka akan sering mempromosikan proyek palsu dan peluang pengembalian tinggi, menunggu Anda terjebak.
Ditujukan untuk investor bernilai tinggi
Untuk kelompok bernilai tinggi, taktik serangan biasanya lebih disesuaikan.
Penyerang akan menyamar sebagai KOL terkenal, mitra kantor keluarga, atau manajer dana melalui saluran seperti LinkedIn, Twitter, dan melempar umpan 'pendanaan eksklusif', 'peluang investasi internal', dan sebagainya, bersamaan dengan akun sosial yang dipalsukan dan dokumen investasi, menciptakan 'lingkaran kepercayaan' yang tertutup.
Laporan Chainalysis secara khusus menyebutkan bahwa pada tahun 2024, tim skema pembunuhan babi menggunakan penipuan kantor keluarga palsu untuk menipu sejumlah besar investor bernilai tinggi, dengan total kerugian mencapai puluhan juta dolar.
Selain itu, serangan pergantian SIM juga sering terjadi: penipu meyakinkan penyedia telekomunikasi untuk memindahkan nomor telepon, sehingga dapat mereset kata sandi akun bursa Anda dan mengontrol dana.
Ditujukan untuk pihak proyek Web3
Tim proyek sering menghadapi penipuan terkait undangan kerjasama, pengembangan bisnis, dan integrasi teknologi.
Misalnya, hacker berpura-pura menjadi manajer terkenal dari CEX, mitra ekosistem, mengundang rapat online, sebenarnya mengirimkan tautan video Zoom yang dipalsukan atau dokumen kontrak berbahaya.
Pada tahun 2024, SlowMist mengungkapkan beberapa insiden di mana hacker memalsukan tautan rapat video, yang menargetkan otorisasi multi-tanda tangan proyek dan manajemen kunci pribadi. Sementara itu, platform Huione Guarantee yang disebutkan dalam laporan Chainalysis, menyediakan layanan seperti AI face swap dan KYC palsu untuk membantu mereka memalsukan video sosok CEO dan CTO, untuk memperoleh otorisasi keuangan.
Selain itu, penyerang sering mengirimkan tautan kode berbahaya dengan nama 'paket pembaruan SDK' atau 'dokumen API', yang menggoda tim pengembang untuk mengunduh.
Ditujukan untuk pencari kerja di Web3
Serangan rekayasa sosial juga sering muncul dalam informasi 'perekrutan' atau 'pekerjaan paruh waktu'.
Penyerang akan menyamar sebagai HR proyek, perekrut platform utama, atau membuat situs perekrutan palsu untuk menawarkan posisi dengan gaji tinggi, menarik pencari kerja untuk mengirimkan resume. Setelah kepercayaan terbangun, mereka sering mengarahkan untuk mengklik tautan wawancara palsu, mengunduh dokumen berbahaya, bahkan membuat Anda masuk ke 'platform tugas' yang konon, untuk menipu dana dengan melakukan pengisian ulang.
Laporan Chainalysis menunjukkan bahwa tim penipuan skema 'pembunuhan babi' telah menjadikan perekrutan palsu sebagai lini bisnis baru pada tahun 2024, menggoda korban untuk terus menginvestasikan uang hingga tidak dapat menariknya. Selain itu, SlowMist juga telah mendeteksi beberapa penipuan pencarian kerja, di mana penyerang mengirimkan tautan berbahaya melalui undangan perekrutan palsu untuk mencuri izin dompet atau informasi sensitif.
Bagaimana cara mencegah serangan rekayasa sosial?
Anda tidak akan pernah bisa menghentikan penipu mendekati Anda, tetapi Anda dapat mencegah mereka mendapatkan kesempatan.
Inti dari pemikiran hanya satu: tingkatkan sensitivitas terhadap godaan, intimidasi, dan lingkaran kepercayaan, ditambah dengan perlindungan teknis secara bersamaan.
Percayai semua informasi hanya dari saluran resmi. Pastikan untuk memverifikasi melalui email, akun Twitter, atau grup Discord yang diumumkan di situs resmi.
Pasang plugin anti-phishing. Plugin anti-phishing seperti Wallet Guard dan PhishFort dapat secara efektif memblokir situs phishing dan tautan berbahaya yang telah diberi tanda.
Jangan pernah memberikan kunci pribadi, hati-hati saat menandatangani otorisasi. Setiap platform dan pihak proyek yang resmi tidak akan meminta kunci pribadi dan frasa pemulihan Anda. Sebelum menandatangani kontrak, pastikan untuk memverifikasi sumber dan izin yang digunakan.
Pihak proyek & anggota inti harus mengendalikan kerjasama bisnis dengan ketat. Disarankan untuk mengaktifkan perlindungan anti-phishing pada email anggota inti, menerima dokumen di lingkungan sandbox, dan menolak undangan SDK/API yang belum diverifikasi.
Hierarki dompet, diversifikasi aset. Disarankan untuk menggunakan kombinasi dompet dingin + dompet keras, mengisolasi dompet operasional sehari-hari, dompet investasi, dan dompet penyimpanan, serta menggunakan multi-tanda tangan untuk perlindungan.
Kembangkan kebiasaan 'berhenti selama 5 menit' untuk menunda reaksi. Setiap kali melibatkan transfer atau operasi darurat, paksa diri Anda untuk berhenti selama 5 menit, verifikasi sebelum bertindak. Penipuan rekayasa sosial paling takut saat Anda tetap tenang.
Langkah pertama dalam investasi Web3 bukanlah mengejar keuntungan, tetapi terlebih dahulu belajar menjaga modal.
Jangan beri penipu kesempatan apapun.