Penipuan Wallet DeFi

Apa Itu Penipuan Wallet DeFi?

Penipuan wallet DeFi adalah skema penipuan yang mengelabui pengguna mata uang kripto agar mengungkapkan rahasia wallet, menandatangani pesan berbahaya, menyetujui smart contract berbahaya, atau mentransfer aset kepada penyerang.

Penipuan ini menargetkan orang yang menggunakan wallet self-custody untuk berinteraksi dengan aplikasi keuangan terdesentralisasi, token, pool likuiditas, protokol pinjaman, sistem staking, bridge, dan layanan blockchain lainnya.

Penipu tidak selalu memerlukan frasa pemulihan korban untuk mencuri kripto.

Persetujuan token berbahaya, tanda tangan permit, delegasi akun, atau transaksi blockchain biasa mungkin sudah memberi wewenang yang cukup untuk memindahkan aset bernilai.

Beberapa penipuan wallet DeFi mengandalkan situs web, aplikasi, ekstensi browser, akun dukungan pelanggan, airdrop, iklan, unggahan media sosial, atau pesan langsung palsu.

Penipuan lainnya menggunakan malware, situs web yang disusupi, smart contract yang menipu, address poisoning, atau antarmuka transaksi yang dimanipulasi.

Panduan keamanan dan pencegahan penipuan Ethereum memperingatkan pengguna tentang phishing, giveaway palsu, penyamaran identitas, permintaan wallet berbahaya, dan ancaman mata uang kripto umum lainnya.

Penipuan wallet DeFi sangat berbahaya karena transfer blockchain yang telah dikonfirmasi umumnya sulit atau mustahil dibatalkan oleh pengguna biasa.

Self-custody memberi pemilik wallet kendali langsung, tetapi juga menjadikannya bertanggung jawab untuk melindungi kunci dan memeriksa transaksi.

Cara Kerja Wallet DeFi

Wallet DeFi menyimpan atau mengelola kunci kriptografi yang mengotorisasi aktivitas dari akun blockchain.

Mata uang kripto itu sendiri biasanya tetap tercatat di blockchain, bukan di dalam aplikasi wallet.

Wallet menggunakan kunci privat pengguna untuk membuat tanda tangan digital.

Tanda tangan yang valid dapat mengotorisasi transfer, interaksi smart contract, persetujuan token, voting tata kelola, order, delegasi akun, atau tindakan lainnya.

Alamat wallet publik dapat dibagikan agar orang dan aplikasi lain mengetahui tujuan pengiriman aset.

Kunci privat dan frasa pemulihan harus dirahasiakan karena salah satunya dapat memberikan kendali atas akun.

Aplikasi wallet dapat menampilkan transaksi yang diajukan, tetapi blockchain menjalankan instruksi yang dikodekan dan benar-benar ditandatangani.

Antarmuka yang menipu mungkin menyebut tindakan tersebut sebagai login atau verifikasi, padahal permintaan yang dikodekan memberikan izin bernilai.

Alasan Pengguna Wallet DeFi Menjadi Target

Wallet DeFi dapat menyimpan mata uang kripto, aset bernilai stabil, posisi likuiditas, token staking, hak tata kelola, dan koleksi digital dalam satu akun.

Karena itu, jika wallet berhasil disusupi, penyerang mungkin dapat mengakses beberapa jenis aset sekaligus.

Alamat blockchain bersifat publik sehingga pelaku kejahatan dapat mengidentifikasi akun dengan saldo bernilai tinggi.

Pengguna DeFi juga sering berinteraksi dengan situs web dan smart contract yang tidak dikenal, sehingga membuka peluang bagi permintaan tanda tangan yang menipu.

Protokol baru mungkin memerlukan persetujuan token dan transaksi kompleks yang sulit dipahami pemula.

Penipu mengeksploitasi rasa urgensi, keserakahan, ketakutan, rasa ingin tahu, dan kebingungan alih-alih menembus kriptografi blockchain secara langsung.

Korban mungkin mengira setiap permintaan yang ditampilkan wallet aman hanya karena permintaan itu muncul di aplikasi wallet.

Wallet mengonfirmasi tindakan yang diotorisasi pengguna, tetapi tidak selalu dapat menentukan apakah keputusan pengguna bijak atau apakah situs web tersebut jujur.

Phishing Frasa Pemulihan

Penipuan phishing frasa pemulihan meminta korban memasukkan frasa pemulihan wallet ke situs web, aplikasi, formulir, atau percakapan dukungan palsu.

Frasa pemulihan biasanya dapat membuat ulang semua akun yang berasal dari wallet tersebut.

Penipu yang mendapatkannya dapat mengimpor wallet dan mentransfer aset tanpa izin tambahan.

Alasan yang umum digunakan meliputi validasi wallet, sinkronisasi, migrasi, pemeriksaan keamanan, kelayakan airdrop, verifikasi identitas, dan perbaikan transaksi.

Aplikasi terdesentralisasi yang sah tidak memerlukan frasa pemulihan untuk terhubung ke wallet.

Informasi pemulihan wallet hanya boleh dimasukkan ke proses pemulihan wallet tepercaya yang sengaja dimulai oleh pemiliknya.

Informasi tersebut tidak boleh dimasukkan melalui tautan dari orang asing, iklan, pesan langsung, email, atau akun dukungan pelanggan.

Pencurian Kunci Privat

Kunci privat mengendalikan satu akun blockchain atau sekumpulan fungsi akun terkait secara langsung.

Perwakilan dukungan palsu mungkin meminta pengguna mengekspor kunci untuk mendiagnosis transaksi yang gagal.

Malware dapat mencari kunci yang terekspos di penyimpanan browser, tangkapan layar, data clipboard, file teks, dan cadangan cloud.

Kunci privat tidak boleh ditempelkan ke situs web hanya untuk mengklaim token atau memperbaiki wallet.

Siapa pun yang memperoleh kunci tersebut biasanya dapat menandatangani transaksi sebagai pemilik akun.

Mengubah kata sandi wallet tidak membatalkan kunci privat blockchain yang telah terekspos.

Aset yang tersisa harus dipindahkan ke wallet baru yang dibuat menggunakan materi kunci yang tidak disusupi.

Situs Web DeFi Palsu

Situs web DeFi palsu meniru nama, desain, simbol token, dan antarmuka aplikasi yang sah.

Nama domainnya mungkin berisi huruf tambahan, karakter pengganti, subdomain yang menyesatkan, atau akhiran domain yang berbeda.

Situs tersebut mungkin muncul melalui iklan pencarian, balasan media sosial, unggahan bersponsor, akun yang disusupi, atau pesan yang mengklaim migrasi mendesak diperlukan.

Menghubungkan wallet tidak selalu memindahkan aset, tetapi situs tersebut mungkin langsung meminta tanda tangan atau persetujuan berbahaya.

Pengguna sebaiknya membuka aplikasi melalui bookmark terverifikasi atau tautan yang dikonfirmasi melalui dokumentasi resmi.

Periksa seluruh nama domain, bukan hanya desain halaman atau logonya.

Simbol gembok menandakan koneksi terenkripsi ke domain yang ditampilkan, bukan bukti bahwa domain tersebut sah.

Aplikasi Wallet dan Ekstensi Browser Palsu

Aplikasi wallet palsu dapat meniru wallet self-custody sungguhan sambil diam-diam mengirimkan frasa pemulihan kepada penyerang.

Ekstensi browser palsu dapat mengganti detail transaksi, memantau kata sandi, menampilkan pop-up menipu, atau mencuri kunci yang disimpan di browser.

Aplikasi hanya boleh dipasang dari halaman resmi penerbit yang telah diverifikasi atau dari listing toko aplikasi tepercaya yang ditautkan oleh penerbit.

Periksa nama developer, riwayat unduhan, izin, tanggal publikasi, ulasan, dan tautan resmi.

Nilai ulasan yang tinggi tidak membuktikan keamanan karena ulasan dapat dibeli atau disalin.

Permintaan tak terduga untuk memasang ulang atau memperbarui wallet melalui pesan patut dicurigai.

Penipuan Dukungan Pelanggan Palsu

Protokol DeFi umumnya tidak mengirim pesan pribadi kepada pengguna yang mengunggah masalah.

Penipu memantau diskusi publik lalu segera menyamar sebagai administrator, developer, moderator, tim keamanan, dan agen dukungan wallet.

Pelaku penyamaran mungkin meminta frasa pemulihan, sesi berbagi layar, akses jarak jauh, pembayaran verifikasi, atau koneksi ke situs web perbaikan.

Petugas dukungan yang sah tidak memerlukan kunci privat atau frasa pemulihan untuk memeriksa transaksi publik.

Pihak yang mengklaim dana harus dipindahkan ke wallet aman yang dikendalikan tim dukungan sedang berusaha mengambil alih aset.

Buka saluran dukungan secara mandiri melalui dokumentasi proyek terverifikasi, bukan melalui balasan atau pesan yang tidak diminta.

Wallet Drainer

Wallet drainer adalah kode atau infrastruktur berbahaya yang dirancang untuk mengidentifikasi aset bernilai dan memperoleh wewenang untuk mentransfernya.

Drainer dapat meminta beberapa tanda tangan atau menggabungkan beberapa jenis aset dalam satu interaksi yang menipu.

Drainer dapat menargetkan token fungibel, posisi staking, token likuiditas, koleksi digital, dan mata uang kripto native.

Drainer canggih dapat memilih aset paling bernilai setelah membaca saldo publik wallet korban.

Beberapa drainer menunggu sebelum mencuri aset agar korban tidak langsung mengaitkan kehilangan tersebut dengan tanda tangan berbahaya.

Memutuskan koneksi wallet dari situs web belum tentu membatalkan persetujuan yang sudah tercatat on-chain.

Panduan pelaporan penipuan Ethereum menjelaskan bahwa persetujuan berbahaya dapat memungkinkan pencurian token berlanjut hingga izinnya dicabut.

Persetujuan Token Berbahaya

Persetujuan token memberi smart contract atau alamat izin untuk membelanjakan jumlah token tertentu milik pengguna.

Izin ini umumnya diperlukan oleh aplikasi trading terdesentralisasi, pinjaman, likuiditas, dan staking.

Menurut standar token ERC-20, pemilik dapat menetapkan allowance yang mengizinkan spender mentransfer token atas nama pemilik.

Aplikasi berbahaya mungkin meminta allowance tanpa batas, meskipun tindakan yang dimaksud hanya memerlukan jumlah kecil.

Persetujuan itu sendiri mungkin tidak langsung memindahkan token.

Spender yang disetujui dapat menggunakan izin tersebut di kemudian hari, termasuk setelah pengguna lupa pernah berinteraksi dengannya.

Laporan Trillion Dollar Security Ethereum mencatat bahwa persetujuan tanpa batas yang tidak memiliki masa berlaku dapat membahayakan pengguna jika aplikasi atau frontend menjadi berbahaya atau disusupi.

Penipuan Persetujuan Tanpa Batas

Persetujuan tanpa batas memungkinkan spender menggunakan seluruh saldo token tertentu yang dimiliki wallet saat ini maupun di masa mendatang.

Pengguna mungkin menyetujui izin tersebut ketika hanya memiliki saldo kecil, lalu menyetor jumlah yang jauh lebih besar di kemudian hari.

Contract yang disusupi kemudian dapat mentransfer token baru karena persetujuan masih aktif.

Jika aplikasi dan wallet mendukungnya, pengguna sebaiknya membatasi persetujuan hingga jumlah yang diperlukan.

Periksa dan cabut persetujuan lama saat sudah tidak diperlukan.

Pencabutan adalah transaksi blockchain dan biasanya memerlukan biaya jaringan.

Mencabut persetujuan token tidak mengamankan wallet jika frasa pemulihan atau kunci privat sudah terekspos.

Penipuan Tanda Tangan Permit

Tanda tangan permit dapat mengubah allowance token melalui pesan off-chain yang ditandatangani, tanpa transaksi persetujuan terpisah.

Standar permit ERC-2612 memungkinkan pesan bertanda tangan mengubah allowance ERC-20.

Penipu mungkin menyebut tanda tangan tersebut sebagai login, klaim gratis, verifikasi akun, atau koneksi tanpa gas.

Pihak lain dapat mengirimkan tanda tangan itu ke blockchain di kemudian hari.

Karena itu, korban mungkin tidak melihat transaksi on-chain langsung saat izin dibuat.

Periksa token, spender, jumlah yang diizinkan, tenggat waktu, dan jaringan sebelum menyetujui permintaan permit.

Pesan yang tidak memerlukan biaya jaringan tetap dapat mengotorisasi pencurian aset bernilai.

Penipuan Blind Signing

Blind signing terjadi saat pengguna menyetujui data berkode tanpa memahami tindakan yang direpresentasikan oleh data tersebut.

Wallet mungkin menampilkan pesan heksadesimal panjang atau fungsi contract yang tidak jelas.

Pengguna mungkin menandatanganinya karena situs web mengklaim permintaan tersebut membuktikan kepemilikan wallet.

Namun, tanda tangan itu dapat mengotorisasi transfer, order, persetujuan token, atau izin tingkat akun.

Standar penandatanganan terstruktur dapat meningkatkan keterbacaan, tetapi antarmuka yang menipu tetap dapat memberikan penjelasan yang menyesatkan.

Format clear-signing ERC-7730 dikembangkan untuk meningkatkan keterbacaan informasi transaksi dan mengurangi risiko frontend serta phishing.

Pengguna sebaiknya menolak tanda tangan apa pun yang konsekuensinya tidak dapat dipahami dengan yakin.

Simulasi Transaksi Berbahaya

Beberapa wallet menyimulasikan transaksi dan menampilkan perkiraan perubahan saldo sebelum pengguna mengonfirmasinya.

Simulasi dapat mengungkap transfer, persetujuan, atau pemanggilan contract yang mencurigakan.

Simulasi merupakan sarana bantu keamanan, bukan jaminan.

Hasil simulasi mungkin tidak lengkap jika perilaku contract bergantung pada waktu, status blockchain, pemanggilan eksternal, atau transaksi berikutnya.

Situs berbahaya juga dapat menampilkan pratinjau palsu yang tidak sesuai dengan transaksi sebenarnya di wallet.

Baca layar konfirmasi wallet, bukan hanya mengandalkan penjelasan situs web.

Penipuan Delegasi Akun EIP-7702

Fitur delegasi akun Ethereum modern memungkinkan akun milik eksternal menggunakan kode smart contract untuk perilaku wallet tingkat lanjut.

Fitur ini dapat mendukung fungsi berguna seperti penggabungan transaksi, sponsor biaya, sistem pemulihan, dan izin yang dapat diprogram.

Namun, fitur ini juga menimbulkan risiko phishing yang besar jika pengguna mendelegasikan akun kepada kode berbahaya.

Panduan keamanan EIP-7702 Ethereum saat ini memperingatkan bahwa aset dapat sepenuhnya dikendalikan oleh smart contract setelah delegasi.

Delegasi berbahaya dapat memberikan kendali yang lebih luas daripada persetujuan token biasa.

Periksa target delegasi dan pahami apakah izin tersebut berlaku untuk satu jaringan atau beberapa jaringan.

Jangan menandatangani permintaan untuk meningkatkan, mengaktifkan, memperbaiki, atau menyempurnakan wallet kecuali perilaku delegasinya benar-benar dipahami.

Penipuan Address Poisoning

Address poisoning berupaya memasukkan alamat yang dikendalikan penyerang ke dalam riwayat transaksi korban.

Penyerang membuat alamat dengan karakter awal atau akhir yang sama dengan alamat yang sering digunakan korban.

Transaksi bernilai sangat kecil atau nol kemudian dikirim ke atau dari akun korban.

Korban kemudian menyalin alamat yang tampak mirip dari riwayat transaksi dan mengirim kripto kepada penyerang.

Memeriksa hanya empat karakter pertama dan terakhir tidak memberikan perlindungan yang memadai.

Verifikasi seluruh alamat tujuan melalui sumber tepercaya sebelum setiap transfer bernilai besar.

Buku alamat tersimpan dan daftar alamat yang diizinkan dapat mengurangi risiko jika proses penambahannya aman.

Malware Pengganti Clipboard

Malware clipboard memantau alamat mata uang kripto yang disalin lalu menggantinya dengan alamat penyerang.

Alamat pengganti mungkin cukup mirip dengan alamat asli sehingga tidak langsung terdeteksi.

Pengguna kemudian menandatangani transfer valid ke penerima yang salah.

Perangkat penandatangan hardware tetap dapat menyetujui pencurian jika pengguna tidak membandingkan alamat yang ditampilkan di layar tepercaya.

Periksa seluruh alamat tujuan dan jumlah setelah menempelkannya, lalu periksa kembali sebelum menandatangani.

Transaksi uji bernilai kecil dapat mengurangi kerugian akibat kesalahan alamat, meskipun transaksi akhir tetap harus diverifikasi secara terpisah.

Malware Pencuri Informasi

Malware pencuri informasi dapat mengumpulkan file wallet, data browser, kata sandi, cookie sesi, konten clipboard, tangkapan layar, dan frasa pemulihan.

Pada 2025, CISA melaporkan bahwa pencuri informasi LummaC2 digunakan untuk mengeksfiltrasi kredensial dan informasi wallet mata uang kripto.

Peringatan CISA tentang LummaC2 merekomendasikan langkah seperti memperbarui perangkat lunak, menggunakan autentikasi multifaktor, menerapkan kontrol aplikasi, dan memantau endpoint.

Pengguna wallet sebaiknya tidak memasang alat trading yang tidak dikenal, program klaim token, skrip browser, perangkat lunak bajakan, atau lampiran yang dikirim melalui grup chat.

Aplikasi wallet yang bersih tidak dapat melindungi rahasia yang terekspos akibat sistem operasi terinfeksi.

Jika memungkinkan, pisahkan aktivitas penandatanganan bernilai besar dari penelusuran web biasa dan pemasangan perangkat lunak.

Penipuan Kode QR

Kode QR berbahaya dapat memuat alamat wallet penyerang, situs phishing, permintaan koneksi, atau instruksi transaksi.

Kode tersebut mungkin muncul dalam pesan dukungan palsu, giveaway token, faktur, poster acara, atau siaran video.

Memindai kode bukan bukti bahwa tujuannya aman.

Wallet atau browser seharusnya menampilkan domain, alamat, jaringan, dan tindakan yang diminta setelah kode diterjemahkan, sebelum persetujuan diberikan.

Tolak kode QR yang mengaku memverifikasi wallet tetapi meminta transfer atau persetujuan token.

Penipuan Airdrop Palsu

Airdrop palsu menjanjikan token gratis untuk membujuk pengguna mengunjungi situs web atau menandatangani transaksi.

Situs web tersebut mungkin meminta persetujuan token tanpa batas, tanda tangan permit, delegasi, atau transfer langsung.

Penipu mungkin mengirim token tak bernilai ke wallet dengan nama yang mempromosikan situs web berbahaya.

Menerima token yang tidak dikenal tidak mengharuskan pemiliknya mengunjungi situs web atau berinteraksi dengan contract token tersebut.

Jangan menyetujui, menukar, atau mengklaim aset yang tidak dikenal hanya karena aset itu muncul di wallet.

Airdrop yang autentik pun dapat menimbulkan risiko pajak, privasi, dan smart contract.

Spam NFT dan Token Berbahaya

Token dan koleksi digital yang tidak dikenal mungkin memiliki nama atau metadata yang mengarahkan pengguna ke situs web penipuan.

Aset itu sendiri mungkin tidak berbahaya hingga pengguna mencoba menjual, mengklaim, membuka, atau menukarkannya.

Situs web terkait kemudian meminta transaksi atau tanda tangan berbahaya.

Pengguna wallet sebaiknya menyembunyikan atau mengabaikan aset yang tidak diminta, bukan mengikuti instruksi yang disematkan.

Nilai pasar yang ditampilkan dapat direkayasa melalui likuiditas yang dimanipulasi atau metadata yang menyesatkan.

Penipuan Token Honeypot

Token honeypot memungkinkan pengguna membeli aset, tetapi menghalangi pemegang biasa untuk menjualnya dengan sukses.

Contract dapat membatasi transfer, menerapkan pajak penjualan yang sangat tinggi, memblokir alamat tertentu, atau hanya mengizinkan akun yang disetujui untuk menjual.

Grafik yang terus naik dapat menarik pembeli meskipun harga yang ditampilkan tidak realistis untuk diperoleh.

Simulasi transaksi, kode terverifikasi, aktivitas pemegang, kondisi likuiditas, dan transaksi uji bernilai kecil dapat memberikan peringatan yang berguna.

Peninjau otomatis mana pun tidak dapat menjamin bahwa token aman.

Penipuan Likuiditas dan Imbal Hasil Palsu

Aplikasi DeFi penipuan mungkin mengiklankan reward staking, pinjaman, farming, atau likuiditas yang sangat tinggi.

Pengguna menyetor mata uang kripto ke smart contract yang dikendalikan penipu.

Dasbor mungkin menampilkan pendapatan rekaan, sementara penarikan dinonaktifkan.

Skema lain mengizinkan penarikan kecil pada awalnya untuk mendorong setoran yang lebih besar.

Janji imbal hasil pasti dan tekanan untuk segera melakukan deposit merupakan tanda bahaya utama.

Sumber daya CFTC tentang penipuan aset digital memperingatkan tentang penawaran palsu, manipulasi, situs web palsu, dan janji keuntungan kripto yang mudah.

Rug Pull dan Wallet Drainer

Rug pull terjadi saat orang dalam proyek meninggalkan proyek mata uang kripto, menarik likuiditas, menyalahgunakan aset treasury, atau mengeksploitasi kontrol istimewa pada contract.

Wallet drainer mencuri aset melalui izin atau transaksi yang disetujui oleh pengguna wallet secara individu.

Kedua metode tersebut dapat terjadi bersamaan.

Protokol palsu mungkin mengumpulkan deposit sebelum menguras wallet yang terhubung melalui persetujuan tambahan yang berbahaya.

Periksa risiko di tingkat proyek maupun izin di tingkat wallet.

Akun Media Sosial yang Disusupi

Akun proyek atau tokoh publik yang sah dapat disusupi dan digunakan untuk mengunggah tautan berbahaya.

Penyerang mungkin mengumumkan migrasi darurat, pengembalian dana, klaim token, atau reward terbatas waktu.

Pesan tersebut dapat tampak autentik karena berasal dari akun yang dikenal dan memiliki riwayat panjang.

Konfirmasikan pengumuman penting melalui beberapa saluran resmi yang independen.

Situasi mendesak seharusnya meningkatkan kewaspadaan, bukan menguranginya.

Penipuan Tata Kelola dan Migrasi Palsu

Penipu mungkin mengklaim bahwa pemegang token harus memigrasikan aset karena peningkatan sistem, eksploitasi, voting tata kelola, atau penggantian contract.

Aplikasi yang ditautkan mungkin meminta persetujuan untuk mentransfer token lama dan baru milik korban.

Migrasi yang sungguhan seharusnya didokumentasikan melalui proposal tata kelola resmi, alamat contract terverifikasi, dan instruksi teknis publik.

Bandingkan pengumuman dengan catatan tata kelola on-chain dan dokumentasi resmi.

Migrasi tidak boleh meminta pengungkapan frasa pemulihan.

Persetujuan dan Koneksi Wallet

Menghubungkan wallet biasanya memungkinkan situs web melihat alamat publik yang dipilih dan meminta tanda tangan.

Koneksi dasar tidak otomatis mengizinkan situs web mentransfer token.

Persetujuan, permit bertanda tangan, transaksi, atau delegasi dapat memberikan wewenang tambahan.

Memutuskan koneksi situs web mengakhiri sesi antarmuka aktif, tetapi mungkin tidak mengubah izin yang sudah tercatat on-chain.

Periksa sesi yang terhubung dan persetujuan blockchain yang tercatat secara terpisah.

Cara Meninjau Permintaan Wallet

Pastikan jaringan blockchain yang digunakan sebelum memeriksa tindakan yang diminta.

Periksa domain situs web dan alamat contract secara tepat.

Identifikasi apakah permintaan tersebut berupa transaksi, persetujuan token, tanda tangan permit, tanda tangan typed-data, delegasi akun, atau pesan biasa.

Periksa aset, jumlah, penerima, spender, tenggat waktu, dan gas fee.

Curigai permintaan login atau klaim sederhana yang meminta wewenang pembelanjaan tanpa batas.

Tolak tindakan jika wallet menampilkan kode yang tidak dikenal atau transfer aset yang tidak diharapkan.

Verifikasi informasi yang sama melalui dokumentasi resmi, bukan hanya halaman web yang mengajukan permintaan.

Cara Memeriksa Risiko Smart Contract

Cari alamat contract melalui dokumentasi proyek resmi dan bandingkan dengan alamat yang ditampilkan wallet.

Periksa apakah source code telah diverifikasi di blockchain explorer tepercaya.

Periksa apakah contract dapat diperbarui dan siapa yang mengendalikan wewenang pembaruannya.

Identifikasi izin pemilik, administrator, penghentian sementara, minting, transfer, dan keadaan darurat.

Baca audit yang tersedia, tetapi ingat bahwa audit tidak menjamin keamanan.

Panduan keamanan smart contract Ethereum menekankan kontrol akses, pengujian, pengembangan yang aman, dan perencanaan untuk menghadapi kegagalan contract.

Menggunakan Wallet Terpisah

Memisahkan fungsi wallet dapat membatasi kerusakan akibat satu interaksi yang buruk.

Wallet penyimpanan jangka panjang dapat tetap terputus dari aplikasi yang tidak dikenal.

Wallet aktivitas dengan saldo lebih kecil dapat digunakan untuk protokol DeFi baru, klaim token, dan transaksi eksperimental.

Wallet terpisah juga dapat digunakan untuk identitas publik, game, atau koleksi digital.

Pemisahan wallet tidak melindungi aset jika semua wallet menggunakan frasa pemulihan yang sama dan sudah terekspos.

Setiap batas keamanan harus menggunakan kunci dan informasi pemulihan yang benar-benar terpisah.

Hardware Wallet

Hardware wallet menyimpan kunci penandatanganan di perangkat khusus yang dirancang untuk mencegah ekstraksi kunci.

Perangkat ini dapat melindungi dari sebagian malware yang mencoba mencuri kunci dari komputer atau ponsel.

Perangkat ini tidak mencegah pengguna menyetujui transaksi berbahaya.

Gunakan layar perangkat tepercaya untuk memverifikasi jaringan, alamat, jumlah, dan interaksi smart contract.

Menyetujui semua permintaan secara membabi buta melalui perangkat hardware mengubah perlindungan kunci yang kuat menjadi keamanan transaksi yang lemah.

Wallet Multisignature

Wallet multisignature memerlukan beberapa kunci yang berwenang untuk menyetujui transaksi.

Fitur ini dapat mengurangi risiko satu kunci yang dicuri menyebabkan kerugian treasury secara langsung.

Glosarium Ethereum menjelaskan bahwa akun multisignature memerlukan beberapa persetujuan untuk mengeksekusi transaksi.

Perlindungan multisignature paling kuat jika penanda tangan menggunakan perangkat, lokasi, dan prosedur verifikasi yang berbeda.

Beberapa penanda tangan tetap dapat menyetujui transaksi menipu yang sama jika mereka mengandalkan satu pesan yang menyesatkan.

Organisasi sebaiknya mewajibkan peninjauan independen, bukan sekadar mengklik berulang kali mengikuti instruksi yang sama.

Yang Harus Dilakukan Setelah Menandatangani Persetujuan Berbahaya

Segera hentikan interaksi dengan situs web yang mencurigakan.

Periksa transaksi atau pesan bertanda tangan untuk mengidentifikasi token, spender, jumlah, jaringan, dan jenis persetujuan.

Cabut persetujuan token berbahaya melalui antarmuka tepercaya jika kunci privat masih aman.

Pindahkan aset yang sangat bernilai ke wallet bersih jika dampak penuh dari tanda tangan tersebut belum diketahui.

Putuskan koneksi sesi aplikasi aktif dan hapus ekstensi browser yang mencurigakan.

Pantau wallet untuk transaksi lanjutan dan simpan bukti.

Tanda tangan permit yang belum dikirimkan mungkin masih dapat digunakan hingga tenggat waktunya. Karena itu, memindahkan token yang terdampak mungkin lebih aman daripada menunggu.

Yang Harus Dilakukan Setelah Frasa Pemulihan Terekspos

Anggap seluruh wallet telah disusupi segera setelah frasa pemulihan diungkapkan.

Buat wallet baru di perangkat bersih dan tepercaya menggunakan informasi pemulihan baru yang dibuat secara acak.

Pindahkan aset yang tersisa ke wallet baru secepat dan secermat mungkin.

Jangan gunakan kembali frasa yang telah terekspos untuk akun apa pun.

Mencabut persetujuan saja tidak cukup karena penyerang dapat langsung menandatangani transaksi baru.

Amankan akun email, penyimpanan cloud, pengelola kata sandi, dan perangkat yang mungkin telah mengekspos frasa tersebut.

Jangan menerima bantuan dari orang asing yang meminta kendali atas wallet baru.

Yang Harus Dilakukan Setelah Perangkat Terinfeksi Malware

Putuskan perangkat yang terdampak dari akun dan jaringan sensitif.

Gunakan perangkat tepercaya yang terpisah untuk melindungi email, akun keuangan, dan mata uang kripto yang tersisa.

Ubah kata sandi dan cabut sesi aktif dari perangkat yang bersih.

Pindahkan aset hanya setelah membuat kunci wallet baru di luar lingkungan yang dicurigai.

Pemeriksaan perangkat oleh profesional atau instal ulang sistem operasi secara menyeluruh mungkin diperlukan.

Memulihkan profil browser, ekstensi, atau cadangan yang sama dan telah disusupi dapat mengembalikan malware atau data sesi yang dicuri.

Melaporkan Penipuan Wallet DeFi

Simpan alamat wallet, hash transaksi, alamat contract token, domain, email, nama pengguna, tangkapan layar, tanggal, dan jumlah.

Halaman mata uang kripto FBI Internet Crime Complaint Center meminta korban menyertakan hash transaksi, alamat wallet, detail komunikasi, dan pengenal terkait.

Korban di Amerika Serikat juga dapat mengirimkan informasi penipuan konsumen melalui sistem pelaporan penipuan FTC.

Laporkan domain, akun media sosial, aplikasi, dan smart contract berbahaya kepada layanan yang menampung atau menampilkannya.

Pelaporan tidak menjamin pemulihan aset, tetapi dapat membantu penyelidik menghubungkan kejahatan terkait dan memperingatkan pengguna lain.

Penipuan Pemulihan Aset

Penipu jasa pemulihan menargetkan orang yang sudah kehilangan mata uang kripto.

Mereka mungkin mengaku sebagai penyelidik blockchain, pengacara, peretas, pegawai pemerintah, atau spesialis pemulihan aset.

Korban diminta membayar biaya di muka, pajak, biaya gas, biaya pengadilan, atau biaya perangkat lunak.

Peringatan CFTC tentang penipuan pemulihan menyatakan bahwa lembaga pemerintah tidak mensyaratkan pembayaran tidak lazim seperti mata uang kripto untuk memulihkan dana yang hilang.

FBI juga memperingatkan bahwa pelaku kejahatan menyamar sebagai Internet Crime Complaint Center dan secara keliru menjanjikan layanan pemulihan.

Laporan penegak hukum yang sah tidak mengharuskan penyerahan frasa pemulihan atau pembayaran mata uang kripto ke wallet penyelidik.

Tanda Bahaya Umum

Permintaan frasa pemulihan, kunci privat, kata sandi, atau kode verifikasi merupakan tanda bahaya serius.

Janji profit, strategi rahasia, dan klaim imbal hasil bebas risiko tidak dapat diandalkan.

Urgensi tak terduga terkait migrasi, penangguhan akun, atau klaim token harus ditanggapi dengan hati-hati.

Domain yang sedikit berbeda dari alamat resmi mungkin merupakan situs phishing.

Persetujuan tanpa batas untuk transaksi kecil perlu ditinjau lebih lanjut.

Delegasi akun atau tanda tangan typed-data yang tidak dapat dijelaskan dapat menimbulkan risiko serius.

Tawaran bantuan dukungan yang langsung dikirim melalui pesan pribadi sering kali merupakan penyamaran.

Layanan pemulihan yang meminta pembayaran mata uang kripto di muka mungkin berusaha menipu pengguna untuk kedua kalinya.

Pertanyaan yang Sering Diajukan

Apa itu penipuan wallet DeFi secara sederhana?

Penipuan ini mengelabui pengguna DeFi agar memberikan rahasia wallet, mata uang kripto, tanda tangan, atau izin smart contract kepada penyerang.

Bisakah penipu mencuri kripto tanpa frasa pemulihan saya?

Bisa. Persetujuan berbahaya, tanda tangan permit, transaksi, atau delegasi akun dapat mengotorisasi pencurian tanpa mengungkapkan frasa pemulihan.

Apakah menghubungkan wallet memberi situs web kendali atasnya?

Koneksi dasar biasanya hanya mengungkap alamat yang dipilih, tetapi persetujuan dan tanda tangan berikutnya dapat memberikan wewenang untuk membelanjakan aset atau mengendalikan akun.

Apakah menandatangani pesan aman?

Tidak selalu, karena pesan bertanda tangan dapat berupa permit, order, delegasi, permintaan autentikasi, atau otorisasi berharga lainnya.

Apa itu wallet drainer?

Wallet drainer adalah kode berbahaya yang dirancang untuk memperoleh izin dan mentransfer aset bernilai dari wallet yang terhubung.

Apa itu persetujuan token?

Persetujuan token mengizinkan alamat atau smart contract tertentu membelanjakan token dari akun pemilik.

Apa itu persetujuan token tanpa batas?

Persetujuan ini memberi spender izin menggunakan seluruh saldo token tertentu di wallet saat ini maupun di masa mendatang.

Apakah memutuskan koneksi situs web membatalkan persetujuan?

Tidak. Memutuskan sesi antarmuka biasanya tidak menghapus persetujuan yang tersimpan di blockchain.

Bagaimana cara membatalkan persetujuan lama?

Gunakan antarmuka pengelolaan persetujuan tepercaya atau transaksi contract langsung untuk mengatur allowance menjadi nol.

Apakah mencabut persetujuan melindungi frasa pemulihan yang sudah terekspos?

Tidak. Penyerang yang memiliki frasa pemulihan dapat langsung membuat transaksi dan persetujuan baru.

Apa itu penipuan permit?

Penipuan ini mengelabui pengguna agar menandatangani pesan yang memberi alamat lain izin untuk membelanjakan token.

Bisakah tanda tangan tanpa gas mencuri token?

Bisa. Penyerang dapat mengirimkan otorisasi bertanda tangan dan membayar biaya blockchain di kemudian hari.

Apa itu blind signing?

Blind signing berarti menyetujui data berkode tanpa memahami dampak sebenarnya.

Apa itu penipuan delegasi EIP-7702?

Penipuan ini mengelabui pengguna agar mendelegasikan perilaku akun kepada kode smart contract berbahaya yang dapat mengendalikan aset atau transaksi.

Apa itu address poisoning?

Address poisoning memasukkan alamat penyerang yang tampak mirip ke riwayat transaksi agar korban mungkin menyalinnya di kemudian hari.

Bagaimana cara menghindari address poisoning?

Verifikasi seluruh alamat tujuan melalui sumber tepercaya alih-alih menyalinnya begitu saja dari riwayat transaksi.

Apa itu malware clipboard?

Malware clipboard mengganti alamat wallet yang disalin dengan alamat yang dikendalikan penyerang sebelum pengguna mengirim kripto.

Bisakah hardware wallet mencegah semua penipuan?

Tidak. Perangkat ini melindungi kunci privat, tetapi tetap dapat menandatangani transaksi berbahaya jika pengguna menyetujuinya.

Apakah token airdrop yang tidak dikenal berbahaya?

Token tersebut dapat digunakan untuk mengiklankan situs phishing atau interaksi contract berbahaya, sehingga aset yang tidak diminta sebaiknya diabaikan.

Apa itu token honeypot?

Token honeypot memungkinkan pembelian, tetapi mencegah atau mengenakan penalti berat pada penjualan biasa.

Bisakah smart contract terverifikasi tetap berbahaya?

Bisa. Kode terverifikasi hanya membuat source code dapat dilihat dan tidak membuktikan bahwa perilaku contract adil atau aman.

Apakah audit smart contract menjamin keamanan?

Tidak. Audit dapat melewatkan kerentanan dan mungkin tidak mencakup upgrade berikutnya, frontend, atau tindakan administrator.

Bisakah situs web DeFi yang sah disusupi?

Bisa. Penyerang dapat menyusupi domain, frontend, akun media sosial, dependensi, atau kredensial administrator.

Haruskah saya memercayai iklan pencarian untuk situs DeFi?

Tidak. Iklan dapat mengarah ke situs penyamaran, jadi bookmark terverifikasi dan dokumentasi resmi merupakan titik awal yang lebih aman.

Apakah dukungan wallet akan meminta frasa pemulihan saya?

Tidak. Proses dukungan yang sah tidak memerlukan pengungkapan frasa pemulihan lengkap atau kunci privat.

Bisakah penipu mencuri aset setelah menunggu beberapa hari?

Bisa. Persetujuan, permit, atau otorisasi lain mungkin tetap dapat digunakan setelah interaksi awal.

Mengapa hanya satu token yang hilang dari wallet saya?

Penyerang mungkin hanya mendapat persetujuan untuk token tersebut, bukan kendali atas seluruh wallet.

Mengapa semua aset saya hilang?

Frasa pemulihan, kunci privat, delegasi akun yang luas, atau izin untuk beberapa aset mungkin telah disusupi.

Haruskah saya membuat wallet baru setelah frasa pemulihan bocor?

Ya. Pindahkan aset yang tersisa ke wallet baru yang dibuat di perangkat bersih.

Bisakah saya menggunakan kembali frasa pemulihan yang terekspos setelah mengubah kata sandi?

Tidak. Mengubah kata sandi aplikasi tidak membatalkan kunci blockchain yang berasal dari frasa tersebut.

Haruskah saya membayar seseorang untuk memulihkan mata uang kripto yang dicuri?

Berhati-hatilah karena tawaran pemulihan dengan biaya di muka sering menargetkan korban untuk penipuan kedua.

Bisakah transaksi blockchain dibatalkan?

Pengguna biasa umumnya tidak dapat membatalkan transfer yang telah dikonfirmasi tanpa kerja sama penerima atau intervensi lain yang berwenang.

Informasi apa yang perlu saya simpan setelah ditipu?

Simpan hash transaksi, alamat, alamat contract, domain, pesan, tangkapan layar, tanggal, jumlah, dan nama akun.

Di mana korban di AS dapat melaporkan penipuan wallet DeFi?

Korban dapat melaporkannya kepada FBI Internet Crime Complaint Center, FTC, regulator terkait, dan penegak hukum setempat.

Haruskah saya menggunakan wallet yang sama untuk tabungan dan DeFi?

Memisahkan aset jangka panjang dari aktivitas DeFi eksperimental dapat mengurangi jumlah aset yang terpapar pada satu interaksi berbahaya.

Apakah wallet multisignature kebal penipuan?

Tidak. Beberapa penanda tangan tetap dapat menyetujui transaksi menipu atau kehilangan kendali atas cukup banyak kunci penandatanganan.

Bisakah simulasi transaksi menjamin keamanan?

Tidak. Simulasi dapat melewatkan perubahan status, tindakan tertunda, antarmuka menyesatkan, atau perilaku contract yang tidak lazim.

Apa yang harus saya periksa sebelum menandatangani?

Periksa domain, jaringan, contract, penerima, spender, token, jumlah, tenggat waktu, cakupan persetujuan, dan izin tingkat akun.

Apa respons paling aman terhadap tanda tangan yang tidak jelas?

Tolak dan verifikasi tindakan yang diminta secara mandiri sebelum melanjutkan.

Kesimpulan

Penipuan wallet DeFi menargetkan pengguna mata uang kripto melalui pencurian rahasia wallet, transaksi menipu, smart contract berbahaya, aplikasi palsu, penyamaran identitas, malware, dan rekayasa sosial.

Penipu tidak memerlukan frasa pemulihan jika persetujuan token, tanda tangan permit, atau delegasi akun sudah memberikan wewenang yang cukup untuk mencuri aset.

Koneksi wallet, persetujuan token, tanda tangan biasa, pesan permit, dan izin akun yang didelegasikan memiliki konsekuensi keamanan yang berbeda.

Pengguna sebaiknya memahami tindakan persis yang ditampilkan wallet sebelum menyetujuinya.

Frasa pemulihan dan kunci privat tidak boleh dimasukkan ke situs web DeFi, formulir dukungan, pesan langsung, atau halaman klaim token.

Hindari persetujuan token tanpa batas jika allowance yang lebih kecil sudah cukup.

Tinjau izin lama karena memutuskan koneksi situs web tidak mencabut wewenang on-chain.

Hardware wallet dan akun multisignature dapat meningkatkan keamanan, tetapi tidak dapat melindungi pengguna yang menyetujui instruksi menipu tanpa verifikasi.

Wallet terpisah, bookmark tepercaya, perangkat yang diperbarui, izin terbatas, pemeriksaan alamat menyeluruh, dan verifikasi contract secara independen dapat mengurangi paparan risiko.

Frasa pemulihan yang terungkap mengharuskan migrasi ke wallet yang benar-benar baru, bukan sekadar mengubah kata sandi atau mencabut persetujuan.

Korban sebaiknya menyimpan bukti, segera melaporkan insiden, dan menghindari layanan pemulihan yang meminta pembayaran mata uang kripto di muka.

Perlindungan terbaik adalah proses penandatanganan yang cermat, dengan memverifikasi setiap domain, contract, aset, jumlah, penerima, izin, dan delegasi sebelum memberikan otorisasi.