Malam 16 Oktober, YouTuber NanoBaiter yang khusus memburu penipu mengunggah utas panjang sebanyak 12 bagian: seorang penipu bernama Kemi dari Abuja, Nigeria, menyamar sebagai MrBeast, Airrack, dan dirinya sendiri, lalu mengincar orang-orang yang "sudah pernah tertipu sekali". Korban meninggalkan komentar di kolom komentar video bahwa mereka telah ditipu. Penipu itu langsung membalas, "Cari @nanobaiter_team di Telegram," lalu menjual semacam "perangkat lunak pemulihan dana". Sang YouTuber berpura-pura mengikuti permainan mereka. Saat penipu itu mengoperasikan komputernya dari jarak jauh, ia membalik koneksi tersebut, menyalakan kamera penipu, menemukan kartu hadiah Google Play dan tangkapan layar transaksi bitcoin yang masuk, serta mendapati bahwa uang hasil kejahatan dicuci lewat pasar pertukaran kartu hadiah ke mata uang kripto secara langsung. Pada akhirnya, ia menggunakan BSSID Wi-Fi di sekitar yang terdeteksi laptopnya untuk melacak lokasi. Bukti-buktinya sudah diserahkan kepada EFCC Nigeria. Unggahan pertama itu ditonton lebih dari 620 ribu kali, dan dalam setengah hari ada lebih dari 1.200 diskusi di X.
Yang paling ditakuti penipu bukanlah polisi, melainkan kamera di laptopnya sendiri yang belum ditutup lakban.
Beberapa catatan teknis:
1. Transfer di blockchain tidak punya tombol batal. Setelah transaksi dikonfirmasi di blockchain, tidak ada "perangkat lunak pemulihan" atau "peretas blockchain" yang bisa menarik uang itu kembali. Dalam praktiknya, hanya ada satu cara untuk memulihkan uang: dana hasil kejahatan masuk ke platform terpusat yang memiliki tim kepatuhan, lalu kamu melapor ke polisi dan polisi mengirimkan surat permintaan bantuan untuk membekukannya. Siapa pun yang meminta biaya layanan, uang jaminan, atau "biaya pencairan" di muka sebelum memulihkan uang, berarti sedang melancarkan serangan kedua.
2. Menulis di kolom komentar publik, "Saya ditipu, alamatnya xxx," sama saja memasang namamu di daftar yang sudah disaring: sedang panik, baru saja kehilangan kemampuan menilai dengan jernih, dan bersedia membayar demi harapan. Tim resmi yang benar-benar tepercaya tidak akan mengirim pesan pribadi lebih dulu, apalagi menyuruhmu pindah ke Telegram untuk membahasnya secara terperinci. Nama pengguna yang memuat kata "team", "support", atau "official" biasanya bisa langsung diblokir.
3. Kendali jarak jauh pada dasarnya berjalan dua arah. Jika penipu menyuruhmu memasang aplikasi desktop jarak jauh seperti AnyDesk untuk "membantumu memeriksa riwayat transaksi blockchain", memasangnya sama saja dengan menyerahkan seluruh komputer, ekstensi dompet di peramban, dan status login bursa kripto kepada mereka. Kali ini, si penipu sendiri terjerat oleh hal yang sama; bahkan BSSID router di sekitarnya menjadi petunjuk. Basis data publik untuk pelacakan lokasi Wi-Fi sering kali bisa menunjukkan lokasi hingga ke satu ruas jalan jika memiliki alamat perangkat keras beberapa router di sekitar.
4. Kartu hadiah dan penukaran mata uang kripto secara langsung adalah jalur keluar standar bagi kelompok penipu semacam ini. Jika ada yang menyuruhmu memakai kartu hadiah untuk "membayar biaya pemulihan", langkah itu saja sudah cukup untuk memastikan bahwa itu penipuan.
Kebiasaan saya: setelah tertipu, hal pertama yang saya lakukan adalah mengekspor hash transaksi, alamat pihak lain, dan tangkapan layar percakapan, lalu melapor ke polisi. Saya juga menghubungi layanan pelanggan platform tempat dana hasil kejahatan masuk melalui tiket resmi. Saya tidak pernah mencantumkan alamat dompet di kolom komentar publik untuk meminta bantuan; selalu menolak jika orang tak dikenal menyuruh memasang perangkat lunak kendali jarak jauh; dan menganggap setiap pesan pribadi yang menawarkan "bantuan untuk mendapatkan uang kembali" sebagai ulah penipu berikutnya.
Yang paling ditakuti penipu bukanlah polisi, melainkan kamera di laptopnya sendiri yang belum ditutup lakban.
Beberapa catatan teknis:
1. Transfer di blockchain tidak punya tombol batal. Setelah transaksi dikonfirmasi di blockchain, tidak ada "perangkat lunak pemulihan" atau "peretas blockchain" yang bisa menarik uang itu kembali. Dalam praktiknya, hanya ada satu cara untuk memulihkan uang: dana hasil kejahatan masuk ke platform terpusat yang memiliki tim kepatuhan, lalu kamu melapor ke polisi dan polisi mengirimkan surat permintaan bantuan untuk membekukannya. Siapa pun yang meminta biaya layanan, uang jaminan, atau "biaya pencairan" di muka sebelum memulihkan uang, berarti sedang melancarkan serangan kedua.
2. Menulis di kolom komentar publik, "Saya ditipu, alamatnya xxx," sama saja memasang namamu di daftar yang sudah disaring: sedang panik, baru saja kehilangan kemampuan menilai dengan jernih, dan bersedia membayar demi harapan. Tim resmi yang benar-benar tepercaya tidak akan mengirim pesan pribadi lebih dulu, apalagi menyuruhmu pindah ke Telegram untuk membahasnya secara terperinci. Nama pengguna yang memuat kata "team", "support", atau "official" biasanya bisa langsung diblokir.
3. Kendali jarak jauh pada dasarnya berjalan dua arah. Jika penipu menyuruhmu memasang aplikasi desktop jarak jauh seperti AnyDesk untuk "membantumu memeriksa riwayat transaksi blockchain", memasangnya sama saja dengan menyerahkan seluruh komputer, ekstensi dompet di peramban, dan status login bursa kripto kepada mereka. Kali ini, si penipu sendiri terjerat oleh hal yang sama; bahkan BSSID router di sekitarnya menjadi petunjuk. Basis data publik untuk pelacakan lokasi Wi-Fi sering kali bisa menunjukkan lokasi hingga ke satu ruas jalan jika memiliki alamat perangkat keras beberapa router di sekitar.
4. Kartu hadiah dan penukaran mata uang kripto secara langsung adalah jalur keluar standar bagi kelompok penipu semacam ini. Jika ada yang menyuruhmu memakai kartu hadiah untuk "membayar biaya pemulihan", langkah itu saja sudah cukup untuk memastikan bahwa itu penipuan.
Kebiasaan saya: setelah tertipu, hal pertama yang saya lakukan adalah mengekspor hash transaksi, alamat pihak lain, dan tangkapan layar percakapan, lalu melapor ke polisi. Saya juga menghubungi layanan pelanggan platform tempat dana hasil kejahatan masuk melalui tiket resmi. Saya tidak pernah mencantumkan alamat dompet di kolom komentar publik untuk meminta bantuan; selalu menolak jika orang tak dikenal menyuruh memasang perangkat lunak kendali jarak jauh; dan menganggap setiap pesan pribadi yang menawarkan "bantuan untuk mendapatkan uang kembali" sebagai ulah penipu berikutnya.