Alamatnya resmi, ada gembok hijau—beranikah kamu memasukkan frasa pemulihan di halaman web?
Banyak orang mengira cukup dengan melihat nama domain. Minggu ini terbukti salah: rangkaian email phishing mengarah ke domain MetaMask Portfolio yang asli, lalu menggunakan parameter URL untuk menyisipkan pemberitahuan palsu, “Verifikasi dalam 24 jam atau akun akan dinonaktifkan”, dan meminta frasa pemulihanmu. Pihak resmi telah memperbaikinya sekitar 15/10–19/10.
Aturan mutlak: jika halaman web mana pun (termasuk situs resmi) meminta frasa pemulihan, itu phishing. Gembok hijau hanya membuktikan bahwa kamu terhubung ke domain tersebut, bukan bahwa setiap baris yang tampil di layar dibuat oleh pihak resmi.
Tiga hal yang bisa kamu lakukan malam ini: 1)Jangan pernah mengeklik tautan “verifikasi/pulihkan dompet” dari email, pesan pribadi, atau grup. 2)Untuk memeriksa pengumuman, gunakan hanya aplikasi resmi atau bookmark. Jangan mengikuti tautan. 3)Jika pernah memasukkan frasa pemulihan di halaman web, anggap frasa itu sudah bocor. Buat dompet baru dengan frasa baru, lalu pindahkan asetmu.
Peringatan risiko: linimasa kejadian ini bersumber dari tinjauan keamanan yang tersedia untuk umum. Ikuti penjelasan resmi selanjutnya. Tidak merekomendasikan koin atau memberi sinyal jual-beli. Konten ini dibuat dengan bantuan AI dan telah disunting oleh manusia.
Pernah mengeklik tautan yang “tampak seperti situs resmi”? Ceritakan cara kamu memeriksanya di kolom komentar (jangan pernah mencantumkan frasa pemulihan).
Notifikasi palsu juga bisa menyamar sebagai notifikasi resmi
Notifikasi dari aplikasi resmi pun bisa saja palsu. Peringatan palsu sering berbunyi “sinkronisasi dari lokasi lain / verifikasi sekarang”, lalu menipu orang agar membuka halaman web yang meminta frasa pemulihan. Ingat perbedaannya: peringatan asli tidak pernah meminta frasa pemulihan Anda di halaman web. Konten ini dibuat dengan bantuan AI.$BTC $ETH Pernahkah Anda menerima notifikasi push yang berbunyi “Segera verifikasi dompet”? #加密安全 #硬件钱包 #防钓鱼 #BinanceSquare
Pop-up resmi pun bisa menipu Anda agar membocorkan frasa pemulihan
Banyak orang mengira: kalau pengingat muncul dari aplikasi resmi dompet, berarti aman.
Minggu ini, dua dompet perangkat keras menjadi contoh sebaliknya: SecuX secara resmi mengakui bahwa banner di aplikasinya telah diubah oleh peretas. Saat diklik, banner itu mengarah ke situs palsu yang meminta Anda memasukkan 12/24 kata; Layanan notifikasi NGRAVE diretas. Notifikasi palsu mengatakan, “Aset Anda telah disinkronkan dengan sebuah ponsel di Moskow,” lalu mengarahkan orang ke halaman web yang meminta frasa pemulihan. Penelusuran publik memperkirakan 84 dompet, dengan total sekitar 2,65 juta dolar AS, telah dikuras—perangkat kerasnya sendiri tidak diretas.
Menurut saya: dompet dingin mengunci kunci privat di dalam perangkat, tetapi tidak bisa mencegah Anda sendiri mengetikkan frasa pemulihan. Sebagus apa pun kanalnya, kalau Anda diminta memasukkan frasa pemulihan di halaman web, itu phishing.
Tiga hal yang bisa dilakukan hari ini: 1)Tutup langsung notifikasi, banner, email, atau halaman web apa pun yang meminta Anda memasukkan 12/24 kata. 2)Perbarui firmware hanya melalui aplikasi resmi dan konfirmasikan di layar perangkat. Jangan klik tautan di notifikasi. 3)Jika Anda pernah memasukkan frasa pemulihan, anggap frasa tersebut sudah bocor. Pindahkan aset ke dompet baru dengan frasa pemulihan baru.
Peringatan risiko: Data kerugian berasal dari laporan publik dan perkiraan penelusuran on-chain. Ikuti pengungkapan resmi selanjutnya. Tidak merekomendasikan merek apa pun. Konten ini dibuat dengan bantuan AI dan telah disunting secara manual.
Pernah menerima notifikasi “dompet perlu diverifikasi/pembaruan darurat” di ponsel Anda? Ceritakan jenisnya di kolom komentar (jangan pernah membagikan frasa pemulihan).