Insiden Kehilangan Cryptocurrency
Seorang pengguna cryptocurrency kehilangan sekitar 100.000 USDT setelah mentransfer dana ke alamat dompet yang mirip dengan alamat yang pernah terlibat dalam riwayat transaksi korban 66 hari sebelumnya. Cyvers Alerts melaporkan pada 11 Agustus bahwa sistem pemantauan mereka mendeteksi kehilangan tersebut setelah korban mengirimkan dana ke alamat yang dikendalikan oleh penyerang.
Sistem kami telah mendeteksi serangan racun alamat yang mengakibatkan kehilangan $100.000. Penipu awalnya meracuni dompet korban sekitar 66 hari yang lalu, dan hari ini, korban tanpa sadar mengirimkan dana ke alamat penipu.
Sekitar 66 hari sebelum pencurian, penyerang mengirimkan transaksi yang melibatkan dompet korban, menurut Cyvers. Aktivitas tersebut menempatkan alamat jahat dalam riwayat transaksi dompet, di mana alamat tersebut terlihat mirip dengan alamat yang digunakan korban untuk transfer normal. Ketika korban kemudian menyiapkan pembayaran 100.000 USDT, Cyvers menyatakan bahwa pengguna mengandalkan catatan historis tanpa membandingkan alamat tujuan secara menyeluruh. Akibatnya, dana tersebut pergi ke alamat yang mirip alih-alih penerima yang dimaksud.
Metode Racun Alamat
Racun alamat tidak memerlukan penyerang untuk mendapatkan kunci pribadi, mengkompromikan kontrak pintar, atau mengambil alih dompet korban. Sebaliknya, metode ini bergantung pada panjang dan format alamat blockchain, yang banyak dompet dan penjelajah blok pendekkan dengan hanya menampilkan karakter pertama dan terakhir. Penyerang menghasilkan alamat yang cocok dengan bagian yang terlihat dari alamat asli penerima dan kemudian menggunakan transfer kecil atau bernilai nol untuk menempatkan tiruan dalam catatan transaksi target. Seorang pengguna yang hanya memeriksa karakter pembuka dan penutup dapat memilih dompet penyerang meskipun string lengkapnya berbeda.
Dalam kasus terbaru ini, Cyvers mengaitkan kehilangan tersebut dengan kegagalan korban untuk memeriksa alamat lengkap. Perusahaan keamanan tersebut menyarankan pengguna untuk tidak menganggap riwayat transaksi sebagai buku alamat yang dapat dipercaya dan merekomendasikan untuk memverifikasi setiap karakter sebelum menyetujui pembayaran on-chain.
Konversi dan Risiko
Setelah transfer, penyerang menukarkan USDT yang dicuri dengan Ethereum, lapor Cyvers. Dompet penerima memegang sekitar 52,8 ETH ketika perusahaan keamanan menerbitkan peringatannya. Cyvers mengatakan konversi tersebut tampaknya dirancang untuk mengurangi risiko bahwa stablecoin yang dicuri dapat dibekukan. USDT diterbitkan oleh Tether melalui kontrak pintar yang memungkinkan alamat tertentu diblokir, sementara ETH asli tidak memiliki penerbit dengan fungsi pembekuan yang setara. Konversi ini juga berarti nilai kepemilikan penyerang dapat berubah seiring dengan harga pasar ETH.
Rekomendasi Keamanan
Cyvers tidak melaporkan adanya pemulihan, kesepakatan pengembalian, atau intervensi pertukaran dalam peringatan awalnya, juga tidak mengidentifikasi korban secara publik. Tidak ada bukti yang dikutip dalam peringatan yang menunjukkan bahwa cacat dalam Tether, Ethereum, atau perangkat lunak dompet korban menyebabkan transfer. Cyvers malah menggambarkan insiden tersebut sebagai serangan rekayasa sosial yang menggunakan catatan alamat palsu untuk mengeksploitasi kebiasaan pembayaran korban.
Insiden $100.000 ini mengikuti beberapa kasus lebih besar yang melibatkan metode yang sama. Pada bulan Februari, crypto.news sebelumnya melaporkan bahwa dua pengguna telah kehilangan total $62 juta setelah menyalin alamat penipuan dari riwayat transaksi mereka.
Legislasi dan Tindakan Pencegahan
Bagi pengguna AS, racun alamat termasuk dalam kategori penipuan aset digital yang semakin berkembang yang telah dicoba untuk ditangani oleh pembuat undang-undang melalui koordinasi antar lembaga. Senator Elissa Slotkin dan Jerry Moran memperkenalkan undang-undang bipartisan yang dikenal sebagai SAFE Crypto Act, yang bertujuan untuk memperkuat kerangka kerja lembaga untuk penegakan cryptocurrency, pada tahun 2025.
RUU tersebut tidak menciptakan program penggantian untuk pengguna yang secara keliru menyetujui transfer yang tidak dapat dibatalkan. Seperti yang dijelaskan dalam liputan sebelumnya, tugas yang diusulkan akan fokus pada deteksi, gangguan, dan kerjasama antara lembaga dan peserta industri. Cyvers menyarankan pengguna untuk membandingkan alamat dompet lengkap daripada mengandalkan catatan yang dipersingkat dalam riwayat transaksi.
Kesimpulan
Untuk transfer besar, spesialis keamanan juga merekomendasikan untuk mengonfirmasi tujuan melalui saluran komunikasi terpisah dan mengirimkan jumlah uji kecil sebelum memindahkan sisa saldo. Pembayaran uji saja mungkin tidak mencegah serangan racun, seperti yang ditunjukkan oleh pencurian Desember 2025. Karena penyerang dapat menyisipkan alamat yang mirip segera setelah uji, pengirim harus memverifikasi bahwa alamat yang digunakan untuk transfer utama identik dengan yang digunakan untuk transaksi uji.
Daftar putih alamat dapat menambah pemeriksaan lain dengan membatasi penarikan ke tujuan yang disetujui sebelumnya. Dompet perangkat keras juga dapat menampilkan detail transaksi sebelum menandatangani, meskipun pengguna masih harus membaca dan membandingkan tujuan yang ditampilkan pada perangkat.
