Poin-poin Utama

  • Address poisoning adalah penipuan pada crypto wallet ketika penyerang mengirim transaksi kecil dari alamat palsu yang terlihat mirip dengan alamat yang biasa Anda gunakan, dengan harapan Anda menyalin alamat yang salah pada kesempatan berikutnya.

  • Penipu menggunakan alat otomatis untuk menghasilkan alamat dompet yang cocok dengan beberapa karakter pertama dan terakhir dari alamat resmi Anda, memanfaatkan cara dompet menampilkan alamat yang dipendekkan.

  • Karena transaksi blockchain tidak dapat dibatalkan, mengirim dana ke alamat yang teracuni berarti dana tersebut tidak dapat dipulihkan.

  • Perlindungan melibatkan verifikasi seluruh alamat sebelum mengirim, menggunakan daftar yang diizinkan (allowlist) buku alamat, serta melakukan transfer uji dalam jumlah kecil sebelum transfer dalam jumlah besar.

  • Peningkatan perangkat lunak dompet dan sistem alamat yang mudah dibaca manusia seperti Ethereum Name Service (ENS) dapat mengurangi risiko serangan ini dari waktu ke waktu.

BInance Academy courses banner

Pendahuluan

Address poisoning adalah salah satu penipuan kripto yang lebih terselubung. Penyerang tidak meretas dompet Anda atau mencuri kunci privat Anda. Sebaliknya, mereka menunggu Anda melakukan kesalahan saat menyalin sebuah alamat. Artikel ini menjelaskan bagaimana address poisoning bekerja, seperti apa serangan di dunia nyata yang telah terjadi, dan apa yang dapat Anda lakukan untuk melindungi diri.

Serangan ini bergantung pada fakta sederhana: kebanyakan orang tidak memverifikasi setiap karakter dari alamat dompet panjang. Alamat adalah rangkaian 40-42 karakter huruf dan angka, dan dompet sering hanya menampilkan beberapa karakter pertama dan terakhir. Penipu memanfaatkan hal ini dengan membuat alamat yang cocok dengan karakter yang terlihat tersebut, sehingga alamat palsu tampak sah pada pandangan sekilas.

Apa Itu Serangan Address Poisoning di Kripto?

Address poisoning terjadi ketika penipu membuat alamat dompet yang sangat mirip dengan alamat yang biasa Anda gunakan. Lalu, mereka mengirim transaksi kecil ke dompet Anda dari alamat palsu tersebut, sehingga muncul di riwayat transaksi Anda. Tujuannya adalah membuat Anda secara tidak sengaja menyalin alamat palsu tersebut saat berikutnya Anda mengirim dana.

Alamat dompet itu panjang dan sulit diingat. Banyak pengguna mengandalkan penyalinan alamat dari riwayat transaksi terbaru mereka daripada mengetiknya sendiri. Kebiasaan ini menciptakan peluang bagi penyerang untuk menyisipkan alamat yang mirip (lookalike) yang mungkin tidak terlihat.

Bagaimana penyerang membuat alamat yang mirip?

Penipu menggunakan program yang menghasilkan ribuan alamat dompet per detik hingga mereka menemukan satu alamat di mana beberapa karakter pertama dan beberapa karakter terakhir cocok dengan alamat target. Karena dompet biasanya hanya menampilkan 4-6 karakter di setiap ujung alamat, kecocokan di kedua ujungnya saja sudah cukup untuk menipu pemeriksaan cepat.

Proses ini, kadang disebut vanity address generation, relatif murah secara komputasi dan bisa dilakukan dalam skala besar. Satu kampanye dapat menargetkan ribuan dompet secara bersamaan.

Langkah-langkah serangan address poisoning yang umum

  • Penyerang mengidentifikasi dompet target yang memiliki riwayat transaksi rutin.

  • Mereka membuat alamat tiruan yang cocok dengan karakter awal dan akhir dari alamat yang sering dikirimkan oleh target.

  • Mereka mengirim transaksi kecil (sering kali bernilai nol atau jumlah dust) dari alamat palsu ke dompet target, sehingga ditambahkan ke riwayat transaksi.

  • Saat target berikutnya perlu mengirim dana, mereka menggulir transaksi terbaru dan menyalin alamat yang terlihat benar. Jika mereka memilih yang teracuni, dana akan mengalir ke penyerang.

Contoh di Dunia Nyata

Pada Mei 2024, seorang pedagang kripto secara tidak sengaja mengirim sekitar $68 juta dalam wrapped bitcoin (WBTC) ke alamat Ethereum milik seorang penipu. Penyerang telah membuat alamat yang cocok dengan enam karakter pertama dari alamat penerima yang dimaksud. Dana akhirnya dikembalikan setelah negosiasi, dengan laporan bahwa penipu mempertahankan sekitar $3 juta dari apresiasi harga.

Kampanye address poisoning terus berlanjut dalam beberapa tahun terakhir dalam skala besar. Peneliti keamanan telah mendokumentasikan kampanye yang sedang berjalan dengan menargetkan dompet berisi saldo besar, menggunakan puluhan ribu alamat palsu. Serangan cenderung menargetkan dompet aktif yang pola transaksinya terlihat secara publik di penjelajah blockchain (blockchain explorers).

Siapa Korbannya?

Pengguna kripto aktif dengan saldo lebih besar adalah target yang paling umum, karena penyerang memprioritaskan dompet yang jika dicuri akan menghasilkan keuntungan signifikan. Namun, siapa pun yang secara rutin mengirim kripto berpotensi berisiko. Anda dapat membaca tentang penipuan cryptocurrency yang umum lainnya untuk memahami lanskap ancaman yang lebih luas.

Sebagian besar upaya poisoning gagal. Pengguna memverifikasi alamat dengan cermat, tidak menggunakan riwayat transaksi terbaru saat menyalin alamat, atau hanya mengirim ke kontak yang tersimpan. Namun, skala kampanye ini berarti bahkan tingkat keberhasilan yang rendah dapat menyebabkan kerugian besar di banyak target.

Cara Mencegah Serangan Address Poisoning

Verifikasi seluruh alamat sebelum mengirim

Jangan pernah hanya mengandalkan beberapa karakter pertama dan terakhir. Sebelum mengonfirmasi transaksi apa pun, gulir seluruh alamat dan bandingkan setiap karakter dengan penerima yang Anda tuju. Ini sangat penting untuk transfer dalam jumlah besar.

Salin alamat langsung dari sumber resmi, bukan dari riwayat transaksi Anda. Jika Anda mengirim ke kontak biasa, minta mereka mengirim ulang alamatnya melalui saluran yang aman, bukan mengambilnya dari transaksi lama.

Gunakan buku alamat atau daftar yang diizinkan (allowlist)

Kebanyakan dompet memungkinkan Anda menyimpan alamat tepercaya dengan label. Menggunakan entri buku alamat bernama menghilangkan kebutuhan untuk menyalin alamat dari riwayat transaksi sama sekali. Untuk pembayaran berulang, menyimpan alamat sekali lalu menggunakan entri yang tersimpan akan sangat mengurangi risiko peniruan (poisoning).

Lakukan transfer uji terlebih dahulu

Untuk transfer dalam jumlah besar, kirim sejumlah kecil terlebih dahulu dan pastikan sudah diterima dengan benar sebelum mengirim seluruh jumlah. Langkah ini menambah hambatan, tetapi dapat mencegah kerugian besar jika sebuah alamat telah diracuni (dipalsukan).

Gunakan sistem alamat yang mudah dibaca manusia

Layanan seperti Ethereum Name Service (ENS) memungkinkan Anda mengirim kripto ke nama yang dapat dibaca manusia seperti "yourname.eth" alih-alih string heksadesimal panjang. Ini menghilangkan risiko salah menyalin alamat yang salah, asalkan nama tersebut diverifikasi dengan benar.

Peningkatan dompet dan protokol

Beberapa dompet kini menandai atau menyembunyikan transaksi bernilai nol dan koin debu (dust) yang sering digunakan dalam serangan peniruan. Dompet yang menampilkan lebih banyak karakter dari suatu alamat, atau memberi peringatan saat sebuah alamat mirip dengan alamat lain dalam riwayat Anda, juga dapat mengurangi risiko. Protokol yang meningkatkan biaya untuk menghasilkan sejumlah besar alamat dompet mungkin membatasi skala kampanye di masa depan.

Pemantauan real-time

Untuk dompet bernilai tinggi, alat pemantauan blockchain real-time dapat memberi peringatan atas transaksi dust masuk yang mungkin mengindikasikan upaya peniruan. Dompet multisig menambahkan lapisan perlindungan lain dengan mengharuskan beberapa persetujuan sebelum transaksi keluar apa pun dikonfirmasi, sehingga mengurangi dampak satu kesalahan.

FAQ

Apa itu address poisoning (peracunan alamat) dalam kripto?

Address poisoning adalah penipuan di mana penyerang mengirim transaksi kecil ke dompet Anda dari alamat palsu yang terlihat mirip dengan alamat yang biasa Anda gunakan. Tujuannya adalah membuat Anda menyalin alamat palsu dari riwayat transaksi Anda dan secara tidak sengaja mengirim dana kepada penyerang.

Bisakah saya memulihkan dana yang dikirim ke alamat yang teracuni?

Dalam kebanyakan kasus, tidak. Transaksi blockchain tidak dapat dibatalkan (irreversible). Setelah dana dikirim ke alamat yang salah, dana tersebut tidak dapat ditarik kembali kecuali penerima dengan sukarela mengembalikannya. Itulah sebabnya memverifikasi seluruh alamat sebelum setiap transaksi sangat penting.

Bagaimana cara mengetahui apakah dompet saya menjadi target?

Anda dapat memeriksa riwayat transaksi dompet Anda untuk transaksi masuk berjumlah kecil dari alamat yang sangat mirip dengan alamat yang pernah Anda kirim sebelumnya. Upaya phishing sering kali mendahului atau menyertai transaksi-transaksi tersebut. Jika Anda menemukan transaksi dust yang mencurigakan, jangan menyalin alamat apa pun yang terkait dengannya.

Apakah address poisoning hanya memengaruhi dompet Ethereum?

Serangan address poisoning telah didokumentasikan di berbagai blockchain, termasuk Ethereum, BNB Smart Chain, dan lainnya yang menggunakan alamat heksadesimal panjang. Setiap blockchain yang alamatnya panjang dan sering ditampilkan dalam bentuk singkat berpotensi rentan.

Penutup

Address poisoning adalah penipuan berteknologi rendah namun efektif yang memanfaatkan kebiasaan pengguna, bukan kerentanan teknis. Karena transaksi kripto tidak bisa dibalik, satu kesalahan saja dapat menyebabkan kerugian permanen. Pertahanan terbaik adalah memverifikasi seluruh alamat dengan cermat, menggunakan buku alamat yang tersimpan, serta melakukan transfer uji sebelum transfer dalam jumlah besar.

Bacaan Lanjutan

  • Apa Itu Penipuan Multisig dan Cara Menghindarinya?

  • 5 Tips untuk Mengamankan Kepemilikan Cryptocurrency Anda

  • Apa Itu Wrapped Bitcoin (WBTC)?

  • 5 Penipuan Cryptocurrency yang Umum dan Cara Menghindarinya

  • Jenis-jenis Crypto Wallet Dijelaskan

Penafian: Konten ini disajikan kepada Anda berdasarkan prinsip "sebagaimana adanya" untuk informasi umum dan/atau tujuan edukasi saja, tanpa klaim atau jaminan apa pun. Konten ini tidak boleh ditafsirkan sebagai nasihat keuangan, hukum, atau nasihat profesional lainnya, dan juga tidak dimaksudkan untuk merekomendasikan pembelian produk atau layanan tertentu. Anda sebaiknya mencari nasihat Anda sendiri dari penasihat profesional yang sesuai. Jika konten disumbangkan oleh pihak ketiga, harap dicatat bahwa pandangan yang dinyatakan adalah milik penyumbang pihak ketiga tersebut, dan tidak selalu mencerminkan pandangan Binance Academy. Harga aset digital bisa berfluktuasi. Nilai investasi Anda dapat naik atau turun, dan Anda mungkin tidak mendapatkan kembali jumlah yang Anda investasikan. Anda sepenuhnya bertanggung jawab atas keputusan investasi Anda, dan Binance Academy tidak bertanggung jawab atas kerugian apa pun yang mungkin Anda alami. Untuk informasi lebih lanjut, lihat Ketentuan Penggunaan, Peringatan Risiko, dan Ketentuan Binance Academy kami.