Phishing, aplikasi palsu, dan persetujuan berbahaya

Pencuri yang tidak bisa membobol kriptografi punya dua pilihan. Mereka bisa mendapatkan frasa pemulihan Anda, atau membuat Anda menandatangani sesuatu yang menyerahkan token Anda. Pelajaran ini membahas kedua jalur itu.

Jalur pertama: frasa pemulihan Anda

Situs phishing. Tiruan situs dompet atau bursa berada di alamat web yang berbeda satu huruf dari aslinya. Situs ini dipromosikan lewat iklan, email, dan pesan langsung. Situs itu menyuruh Anda "memulihkan", "memverifikasi", atau "menyinkronkan" dompet dengan memasukkan frasa pemulihan.

Aplikasi palsu. Tiruan dompet populer berhasil masuk ke toko aplikasi resmi. Pada 2026, Kaspersky menemukan 26 di App Store Apple. Aplikasi itu menangkap frasa pemulihan saat pengguna mengetiknya dan mengirimkannya ke penyerang.

Dukungan palsu. Seseorang menjawab pertanyaan publik Anda dengan pesan pribadi dan tautan ke "formulir dukungan".

Ketiganya berakhir sama: Anda mengetik kata-kata Anda dan dompet dikuras. Aturan dari Pelajaran 23 menggagalkan semuanya. Frasa hanya dimasukkan saat Anda memilih memulihkan dompet, di perangkat lunak yang Anda pasang dari sumber resmi.

Jalur kedua: tanda tangan Anda

Jalur ini tidak butuh frasa pemulihan, dan juga berhasil terhadap hardware wallet.

Untuk memakai token dengan aplikasi di Ethereum, Anda lebih dulu menandatangani persetujuan (approval). Persetujuan ini memberi kontrak pintar aplikasi izin memindahkan token itu dari dompet Anda. Aplikasi sering meminta jumlah tanpa batas agar Anda cukup menyetujui sekali.

Situs jahat menyalahgunakan ini. Situs itu menyamar sebagai proyek baru, airdrop, atau halaman klaim. Anda menghubungkan dompet dan menandatangani sesuatu yang tampak seperti langkah biasa. Padahal Anda telah menyetujui kontrak penyerang, yang lalu mengambil setiap token jenis itu. Alat yang dibuat untuk ini disebut drainer. Chainalysis menggambarkannya sebagai situs yang "menyamar sebagai proyek web3".

Satu contoh terjadi pada Januari 2024, setelah akun media sosial SEC sendiri dibobol. Drainer yang menyamar sebagai SEC mengajak orang menghubungkan dompet dan mengklaim token gratis.

Arti sebenarnya sebuah persetujuan

• Berlaku sampai Anda membatalkannya, bahkan setelah Anda berhenti memakai aplikasinya.
• Memutus koneksi dompet dari situs tidak membatalkannya.
• Tanpa batas berarti setiap token jenis itu, termasuk yang Anda tambahkan nanti.
• Jika kontrak yang disetujui diretas atau ternyata jahat, kontrak itu bisa memakai izinnya.

Pertahanan

Pelan-pelan saat menandatangani. Baca apa yang ditampilkan dompet Anda. Jika ada "approve", "permit", atau "set approval for all" dan Anda tidak mengharapkannya, tolak.

Setujui hanya yang dibutuhkan. Banyak dompet memungkinkan Anda mengubah permintaan tanpa batas menjadi jumlah untuk transaksi ini saja.

Gunakan dompet terpisah untuk eksperimen. Simpan dompet bersaldo kecil untuk mencoba aplikasi baru dan mengklaim sesuatu. Simpan tabungan di dompet yang tidak pernah terhubung ke situs web.

Cabut persetujuan lama. Blok explorer dan alat khusus menampilkan persetujuan di alamat Anda dan memungkinkan Anda membatalkannya. Setiap pembatalan adalah transaksi dan berbiaya. Lakukan beberapa kali setahun, dan segera setelah menandatangani sesuatu yang Anda sesali.

Datang dengan aman. Gunakan bookmark. Jangan klik iklan atau tautan dalam pesan.

Abaikan uang gratis. Token kejutan, airdrop yang tidak Anda daftar, dan tenggat "klaim" yang mendesak adalah umpan.

Dua aturan

Jangan pernah mengetik frasa pemulihan untuk memperbaiki, memverifikasi, atau mengklaim apa pun. Jangan pernah menandatangani transaksi yang tidak bisa Anda jelaskan.