Lima belas korban telah dikuras dengan total $9,4 juta selama empat minggu terakhir oleh satu operator keracunan alamat. 

Penyelidik on-chain Specter (@SpecterAnalyst) menyoroti kerugian tersebut pada 27 Agustus. Saldo yang dicuri ditukar menjadi USDD, stablecoin berbasis Tron, lalu dialirkan ke satu dompet konsolidasi.

Bagaimana cara kerja penipuan address poisoning?

Seorang penipu tunggal telah mencuri $9,4 juta dari 15 korban di jaringan Tron selama empat minggu terakhir dengan menggunakan trik sederhana yang disebut “address poisoning” (keracunan alamat), menurut penyelidik on-chain Specter, yang memposting sebagai “SpecterAnalyst” di X.

Dua korban terbesar masing-masing kehilangan $2,5 juta. Dana yang dicuri ditukar menjadi USDD, sebuah stablecoin di Tron, lalu dipindahkan ke satu dompet utama.

Analis Stacy Muur (@stacy_muur) menjelaskan pada 26 Agustus bahwa peracunan alamat dimulai ketika penyerang mengirimkan sejumlah kecil kripto dari alamat palsu yang terlihat hampir identik dengan alamat asli yang pernah digunakan korban. Transaksi ini disebut dust transaction (transaksi debu).

Saat pengguna menyalin alamat palsu ini dari riwayat transaksi mereka, mereka mengirim uang langsung ke pencuri, bukan ke penerima yang dimaksud.

Karena alamat blockchain adalah rangkaian panjang huruf dan angka (42 karakter untuk Ethereum), sebagian besar dompet hanya menampilkan beberapa karakter pertama dan terakhir, dan pengguna terbiasa mengenali alamat hanya dari bagian yang terlihat itu.

Pada 22 Agustus, perusahaan investasi Bofur Capital kehilangan sekitar $2 juta karena trik persis ini. Penyerang mengirim 0,0002 USDC dari alamat palsu 20 jam sebelum transfer asli.

Saat Bofur menarik dana dari platform pinjaman Compound, mereka menyalin alamat yang salah dari riwayat mereka. Pencuri menukarkan USDC yang dicuri ke stablecoin DAI untuk menghindari dana tersebut dibekukan.

Bisakah dompet melindungi dari peracunan alamat?

MetaMask, yang dimiliki oleh Consensys, dan Trust Wallet telah menambahkan perlindungan terhadap serangan ini, tetapi fitur keamanannya terutama bekerja di rantai EVM seperti Ethereum, BNB Smart Chain, Polygon, dan sebagainya, bukan Tron.

MetaMask kini menampilkan peringatan jika empat karakter pertama dan empat karakter terakhir suatu alamat cocok dengan penerima sebelumnya, sementara bagian tengahnya berbeda.

Trust Wallet meluncurkan “Address Poisoning Protection” pada Maret. Fitur ini memeriksa setiap alamat terhadap basis data alamat penipuan yang sudah dikenal dan menampilkan perbandingan berdampingan jika ditemukan kecocokan.

Trust Wallet mengatakan telah mendeteksi lebih dari 225 juta upaya peracunan, dengan lebih dari $500 juta yang berhasil dicuri dan dikonfirmasi. Itu sekitar 34.000 serangan setiap jam. Cryptopolitan mendokumentasikan bahwa biaya gas yang lebih murah di Ethereum membuat transaksi debu massal menjadi layak secara ekonomi dan bahkan meningkatkan jumlah transaksi harian di jaringan.

Cryptopolitan juga melaporkan bahwa setelah pencurian sebesar $50 juta pada bulan Desember, pendiri Binance Changpeng Zhao menyerukan agar semua dompet memeriksa alamat beracun dan memblokirnya.

Sampai setiap dompet menerapkan fitur keamanan di setiap rantai, pengguna harus melindungi diri dengan memverifikasi setiap karakter dalam alamat dan menyimpan alamat tepercaya di buku alamat dompet, bukan menyalin dari riwayat. Pengguna juga dapat mengirim transaksi uji berukuran kecil terlebih dahulu ketika memindahkan jumlah besar.

Jangan hanya membaca berita kripto. Pahamilah. Berlangganan buletin kami. Gratis.