Penipuan senilai setengah miliar złoty: bagaimana satu klik mengirim jutaan ke penipu

Dunia kripto baru-baru ini menyaksikan salah satu kasus paling mengharukan terkait kehilangan dana di jaringan blockchain. Pengguna dompet yang aktif selama hampir dua tahun mengalami masalah. Setelah menarik sekitar 50 juta dolar dalam USDT dari sebuah platform pertukaran, dia melakukan transfer percobaan terlebih dahulu untuk memeriksa keabsahan prosedur. Beberapa menit kemudian, dia melanjutkan ke transaksi utama – dan tepat di saat itu semuanya berjalan salah.

Anatomi serangan “address poisoning”

Sebelum hal ini terjadi, penipu sudah mengawasi. Dia membuat dompet dengan alamat yang sangat mirip dengan alamat yang biasa digunakan korban untuk mengirim transaksi. Untuk alamat palsu ini, dia mengirimkan jumlah minimal USDT – cukup agar muncul dalam riwayat transaksi korban.

Ketika pengguna mencari alamat yang sebelumnya digunakan di dompetnya, dia menemukan riwayat tersebut. Alamat blockchain tampil sebagai rangkaian karakter panjang dan tidak terbaca – mudah tersesat satu sama lain, terutama di bawah tekanan waktu. Penipu mengetahui kelemahan ini. Korban menyalin alamat palsu, mengonfirmasi transaksi – dan dalam beberapa detik hampir 50 juta dolar mengalir ke dompet penyerang. Satu kelalaian, satu klik, kerugian total.

Berbagai arsitektur blockchain, berbagai risiko

Charles Hoskinson, pendiri jaringan Cardano, meninjau insiden ini dari sudut pandang teknis dan menyimpulkan: beberapa arsitektur blockchain lebih tahan terhadap manipulasi semacam ini dibandingkan yang lain.

Jaringan berbasis model akun – termasuk Ethereum dan ekosistem EVM – mendorong pengguna untuk menggunakan kembali alamat sebelumnya. Riwayat transaksi di sana bersifat permanen, yang berarti dompet menampilkan alamat tetap. Inilah yang membuatnya rentan terhadap serangan semacam ini.

Berbeda halnya dengan jaringan yang menggunakan model UTXO, seperti Bitcoin dan Cardano. Di sini, setiap transaksi menghasilkan output baru, dan yang lama dikonsumsi. Konsep “saldo akun” tidak ada dalam arti tradisional. Jadi, tidak ada riwayat permanen dari alamat untuk “dicurigai”. Sistem ini secara konstruktif lebih tahan terhadap serangan.

Hoskinson menekankan satu nuansa penting: ini bukan kesalahan protokol atau kontrak pintar. Ini adalah masalah di persimpangan antara desain antarmuka dan perilaku manusia secara alami.

Tanggapan industri terhadap ancaman

Insiden ini tidak diabaikan. Dalam beberapa minggu terakhir, penyedia dompet terkemuka merilis pembaruan keamanan, secara khusus memperingatkan pengguna tentang kebiasaan menyalin alamat dari riwayat transaksi. Mereka juga mengubah antarmuka validasi alamat untuk memudahkan verifikasi sebelum mengirim dana.

Langkah-langkah ini menunjukkan bahwa tanggung jawab terhadap keamanan terletak baik pada perancang dompet maupun pengguna. Tidak ada protokol yang sempurna jika antarmukanya memudahkan penipu untuk melakukan kejahatan.