Sudah mengetik alamat situs dengan benar, tetapi tetap masuk ke situs palsu—pelajaran soal pembajakan domain ini perlu dipahami
Larut malam tanggal 30 hingga dini hari tanggal 31 Oktober, domain 12 situs keuangan terdesentralisasi bermasalah secara bersamaan. Perusahaan keamanan Blockaid menyebutkan pada pukul 03.16 UTC tanggal 31 bahwa ke-12 situs tersebut mengirimkan alat pencuri kripto yang sama kepada pengunjung, bernama Step Drainer. Di antaranya adalah Flap, Kintsu, Pickle Finance, dan Origami Finance. Kesamaan mereka adalah semua domainnya terdaftar di registrar yang sama, Name.com. Pada tanggal 31, Name.com mengonfirmasi bahwa domain sebagian pelanggan dialihkan secara tidak semestinya pada larut malam tanggal 30. Domain tersebut telah dipulihkan, dan jumlah domain pelanggan yang terdampak mencapai 15—lebih banyak daripada 12 yang disebutkan Blockaid. Setelah itu, pihak proyek semuanya menyampaikan satu hal penting: kontrak pintar tidak terdampak; yang kehilangan uang adalah orang-orang yang membuka situs, menghubungkan dompet, lalu menandatangani sesuatu selama periode tersebut.
Saat ini belum ada angka kerugian yang disepakati. The Block menelusuri transaksi on-chain dan menemukan sekitar 138.000 dolar AS masuk ke tiga dompet penyerang. Bitquery menghitung berdasarkan korban: total 32 dompet kehilangan sekitar 202.000 dolar AS, dengan sebagian besar berasal dari seorang pengguna Kintsu di Monad. Kedua angka tersebut menggunakan metode penghitungan yang berbeda dan sama-sama tidak mencakup kerugian di Solana dan Aptos, jadi total sebenarnya mungkin lebih besar. Di sinilah pengguna ritel paling mudah menjadi korban: alamat di bilah alamat sudah benar, tampilan halaman juga terlihat normal, tetapi celah sebenarnya tersembunyi di jendela pop-up dompet. Kintsu secara khusus mengingatkan bahwa kali ini digunakan tanda tangan otorisasi dompet. Setelah ditandatangani, itu sama saja dengan menyerahkan hak untuk mengoperasikan akun kepada kontrak lain. Membatalkan otorisasi token setelah kejadian pun tidak akan mengembalikannya.
Ada tiga hal yang bisa langsung dilakukan sekarang. Pertama, baca setiap kata di jendela pop-up dompet sebelum menandatangani. Menukar atau menyetor aset tidak memerlukan izin untuk menyerahkan semua token, apalagi menyerahkan seluruh akun kepada kontrak lain. Jika izin yang diminta lebih luas daripada yang dibutuhkan untuk tindakan yang ingin Anda lakukan, atau Anda tidak memahaminya, klik Tolak. Kedua, pisahkan dana. Dompet yang biasa digunakan untuk terhubung ke situs hanya menyimpan jumlah kecil; dompet penyimpanan dana jangan pernah dihubungkan ke situs mana pun. Kalaupun dompet harian dikuras, dompet penyimpanan tetap aman. Ketiga, jika Anda pernah terhubung ke situs-situs ini atau menandatangani sesuatu antara larut malam tanggal 30 dan tanggal 31, ikuti terlebih dahulu panduan resmi dari pihak proyek. Jika Anda menandatangani otorisasi, membatalkan otorisasi saja tidak cukup—pindahkan sisa dana ke dompet baru dengan frasa pemulihan yang benar-benar baru. Setelah kejadian, jangan percaya siapa pun yang mengirim pesan pribadi dan mengaku bisa membantu mengembalikan dana. Pihak proyek yang resmi tidak akan mengirim pesan pribadi lebih dulu, apalagi meminta frasa pemulihan atau kunci privat Anda.
Sebelum menghubungkan dompet, apakah Anda biasanya membaca setiap kata pada baris izin di jendela pop-up dompet, atau terbiasa langsung mengeklik Konfirmasi?
#钱包安全 #防骗 #DeFi #KeamananDomain
—— Web3 investor pemula Xiao Kai
Semua hal di atas hanyalah pendapat pribadi saya dan bukan merupakan saran investasi.
Larut malam tanggal 30 hingga dini hari tanggal 31 Oktober, domain 12 situs keuangan terdesentralisasi bermasalah secara bersamaan. Perusahaan keamanan Blockaid menyebutkan pada pukul 03.16 UTC tanggal 31 bahwa ke-12 situs tersebut mengirimkan alat pencuri kripto yang sama kepada pengunjung, bernama Step Drainer. Di antaranya adalah Flap, Kintsu, Pickle Finance, dan Origami Finance. Kesamaan mereka adalah semua domainnya terdaftar di registrar yang sama, Name.com. Pada tanggal 31, Name.com mengonfirmasi bahwa domain sebagian pelanggan dialihkan secara tidak semestinya pada larut malam tanggal 30. Domain tersebut telah dipulihkan, dan jumlah domain pelanggan yang terdampak mencapai 15—lebih banyak daripada 12 yang disebutkan Blockaid. Setelah itu, pihak proyek semuanya menyampaikan satu hal penting: kontrak pintar tidak terdampak; yang kehilangan uang adalah orang-orang yang membuka situs, menghubungkan dompet, lalu menandatangani sesuatu selama periode tersebut.
Saat ini belum ada angka kerugian yang disepakati. The Block menelusuri transaksi on-chain dan menemukan sekitar 138.000 dolar AS masuk ke tiga dompet penyerang. Bitquery menghitung berdasarkan korban: total 32 dompet kehilangan sekitar 202.000 dolar AS, dengan sebagian besar berasal dari seorang pengguna Kintsu di Monad. Kedua angka tersebut menggunakan metode penghitungan yang berbeda dan sama-sama tidak mencakup kerugian di Solana dan Aptos, jadi total sebenarnya mungkin lebih besar. Di sinilah pengguna ritel paling mudah menjadi korban: alamat di bilah alamat sudah benar, tampilan halaman juga terlihat normal, tetapi celah sebenarnya tersembunyi di jendela pop-up dompet. Kintsu secara khusus mengingatkan bahwa kali ini digunakan tanda tangan otorisasi dompet. Setelah ditandatangani, itu sama saja dengan menyerahkan hak untuk mengoperasikan akun kepada kontrak lain. Membatalkan otorisasi token setelah kejadian pun tidak akan mengembalikannya.
Ada tiga hal yang bisa langsung dilakukan sekarang. Pertama, baca setiap kata di jendela pop-up dompet sebelum menandatangani. Menukar atau menyetor aset tidak memerlukan izin untuk menyerahkan semua token, apalagi menyerahkan seluruh akun kepada kontrak lain. Jika izin yang diminta lebih luas daripada yang dibutuhkan untuk tindakan yang ingin Anda lakukan, atau Anda tidak memahaminya, klik Tolak. Kedua, pisahkan dana. Dompet yang biasa digunakan untuk terhubung ke situs hanya menyimpan jumlah kecil; dompet penyimpanan dana jangan pernah dihubungkan ke situs mana pun. Kalaupun dompet harian dikuras, dompet penyimpanan tetap aman. Ketiga, jika Anda pernah terhubung ke situs-situs ini atau menandatangani sesuatu antara larut malam tanggal 30 dan tanggal 31, ikuti terlebih dahulu panduan resmi dari pihak proyek. Jika Anda menandatangani otorisasi, membatalkan otorisasi saja tidak cukup—pindahkan sisa dana ke dompet baru dengan frasa pemulihan yang benar-benar baru. Setelah kejadian, jangan percaya siapa pun yang mengirim pesan pribadi dan mengaku bisa membantu mengembalikan dana. Pihak proyek yang resmi tidak akan mengirim pesan pribadi lebih dulu, apalagi meminta frasa pemulihan atau kunci privat Anda.
Sebelum menghubungkan dompet, apakah Anda biasanya membaca setiap kata pada baris izin di jendela pop-up dompet, atau terbiasa langsung mengeklik Konfirmasi?
#钱包安全 #防骗 #DeFi #KeamananDomain
—— Web3 investor pemula Xiao Kai
Semua hal di atas hanyalah pendapat pribadi saya dan bukan merupakan saran investasi.
