Pengguna MetaMask Ditargetkan dalam Penipuan Verifikasi Keamanan 2FA Palsu

Dompet kripto MetaMask telah mengumumkan bahwa penggunanya menjadi korban penipuan phishing verifikasi keamanan 2FA, mendesak pengguna untuk waspada. Email palsu tersebut meminta pengguna MetaMask untuk memperbarui kredensial verifikasi keamanan 2FA mereka sebelum 4 Januari 2026, atau mereka akan memiliki akses terbatas ke fitur-fitur kunci dompet. 

23pds, partner dan CISO di perusahaan keamanan blockchain SlowMist, adalah salah satu KOL industri pertama yang mengeluarkan pemberitahuan phishing ini di media sosial pada awal 5 Januari. Peneliti keamanan tersebut juga mengingatkan pengguna MetaMask untuk tetap waspada saat menangani email dari perusahaan dompet kripto tersebut.

Penipu yang menyamar sebagai halaman keamanan MetaMask berusaha menipu pengguna untuk menyelesaikan proses autentikasi dua faktor, dengan tujuan sebenarnya mencuri frasa mnemonik mereka. Proses penipuan melibatkan pembuatan dan pengiriman tautan ke halaman peringatan keamanan palsu, antarmuka verifikasi 2FA, dan prompt hitung mundur, yang pada akhirnya meminta pengguna untuk memasukkan frasa mnemonik dompet mereka. 

Meskauskas menjelaskan cara menghindari penipuan 2FA MetaMask 

Peneliti malware dan profesional keamanan internet Tomas Meskauskas merilis sebuah artikel lebih dari sebulan yang lalu yang menjelaskan cara menghindari penipuan phishing email aktivasi 2FA. Laporan tersebut mendesak MetaMask untuk selalu memeriksa dan memverifikasi alamat email pengirim, di antara detail kecil lainnya. Secara khusus, pengguna diperingatkan untuk tidak membabi buta mempercayai email dari perusahaan yang tampak sah.

Tahun lalu, penyedia layanan keamanan siber Australia MailGuard mengidentifikasi dan memblokir email phishing yang mengklaim mendeteksi aktivitas tidak biasa pada akun pengguna MetaMask. Email tersebut juga meminta penerima untuk mengaktifkan autentikasi 2FA mereka tanpa penundaan untuk mencegah akun mereka dinonaktifkan sementara.  

MailGuard memperingatkan bahwa satu email yang dirumuskan dengan cerdik adalah semua yang diperlukan penipu untuk mencuri data sensitif dari pengguna atau menyebarkan lampiran dan tautan malware. Perusahaan keamanan komputer tersebut menyarankan semua penerima email semacam itu dari MetaMask untuk segera menghapusnya guna melindungi aset kripto mereka.

MetaMask telah mengalami beberapa serangan serupa sejak kelemahan keamanan 2022 di penyimpanan cloud Apple, ketika laporan dana yang dicuri muncul di media sosial. Dompet kripto yang didukung ConsenSys mengungkapkan bahwa aset digital yang dicuri termasuk NFT senilai 132,86 ETH (~$402.980) dan APE (Apecoin) senilai lebih dari $250.000, dengan total kerugian lebih dari $650.000.  

MetaMask memerlukan langkah anti-phishing proaktif

Tim keamanan siber dari perusahaan keamanan blockchain Halborn sebelumnya mendesak MetaMask dan perusahaan terkait kripto lainnya untuk secara proaktif menetapkan proses pengelolaan serangan phishing. Menurut Halborn, perusahaan kripto semacam itu harus memiliki proses ini karena tidak ada yang dapat mendeteksi setiap email phishing. 

Perusahaan keamanan blockchain tersebut lebih lanjut menyatakan bahwa juga penting bagi MetaMask dan perusahaan serupa untuk memulai respons insiden segera setelah serangan phishing pada pengguna diidentifikasi, untuk meminimalkan potensi kerusakan. Perusahaan tersebut juga mencatat bahwa memiliki tim respons insiden profesional yang siaga dapat membuat perbedaan signifikan antara serangan besar dan kejadian yang tidak berarti. 

Sementara itu, tim keamanan siber Halborn mendesak pengguna MetaMask untuk membiasakan diri selalu mengaktifkan 2FA atau MFA mereka melalui platform resmi dan menjaganya tetap terkini. Tim tersebut juga mencatat bahwa sistem keamanan email dapat membantu mendeteksi dan memblokir potensi serangan phishing, dan menggunakan autentikasi multi-faktor meminimalkan dampak kredensial yang dikompromikan. 

Tim dukungan MetaMask juga telah menyarankan pengguna bahwa perusahaan tidak akan pernah mengirim email konfirmasi acak, bahkan ketika dompet mereka terhubung ke akun Google atau Apple mereka. Tim tersebut juga menjelaskan bahwa perusahaan tidak pernah meminta detail akun Apple atau Google penggunanya. 

MetaMask juga menekankan bahwa perusahaan tidak akan dan tidak dapat memulai korespondensi email dengan pengguna kecuali permintaan khusus dibuat melalui tim dukungan. Perusahaan tersebut secara tegas menyatakan bahwa tidak meminta frasa pemulihan rahasia dari penggunanya, terlepas dari keadaan apa pun.

Para pemikir kripto paling cerdas sudah membaca newsletter kami. Ingin bergabung? Bergabunglah dengan mereka.