Kerugian Pengguna Cryptocurrency Akibat Serangan Racun Alamat
Seorang pengguna cryptocurrency mengalami kerugian sekitar $50.000 dalam bentuk USDT akibat serangan racun alamat di jaringan Ethereum, menurut laporan dari Scam Sniffer. Scam Sniffer mengungkapkan bahwa alamat penipuan tersebut memiliki kesamaan dengan empat karakter pertama dan enam karakter terakhir dari alamat penerima yang sebenarnya. Platform keamanan ini juga membagikan dua alamat penipuan beserta tangkapan layar riwayat transaksi yang menunjukkan pembayaran yang salah arah.
Panduan Keamanan MetaMask
Dalam panduan keamanannya, MetaMask menjelaskan bahwa racun alamat adalah jenis penipuan yang menampilkan alamat yang mirip dalam riwayat transaksi pengguna. Penyerang memantau transfer token, sering kali melibatkan stablecoin, dan kemudian menciptakan alamat yang menyerupai salah satu alamat yang telah digunakan oleh target. Menurut penyedia dompet, transfer token dengan nilai yang sangat kecil atau bahkan nol dapat menyisipkan tiruan ke dalam catatan aktivitas target. Penyerang menunggu pengguna untuk menyalin alamat yang salah saat menyiapkan pembayaran berikutnya.
MetaMask menjelaskan bahwa tampilan alamat yang dipersingkat dapat menyembunyikan perbedaan: karakter pembuka dan penutup terlihat akrab, sementara bagian tengah alamat berbeda. Dalam insiden yang terjadi pada 11 Agustus, crypto.news melaporkan bahwa seorang pengguna kehilangan sekitar 100.000 USDT setelah memilih alamat tiruan yang telah ditanamkan dalam riwayat dompetnya 66 hari sebelumnya, menurut Cyvers Alerts. Cyvers menyatakan bahwa korban mengandalkan catatan historis tanpa membandingkan seluruh alamat tujuan.
Proses Penipuan dan Dampaknya
Setelah menerima pembayaran, penyerang menukar USDT dengan ETH, dengan dompet penerima memegang sekitar 52,8 ETH ketika perusahaan keamanan menerbitkan peringatannya. Perusahaan tersebut menggambarkan insiden ini sebagai rekayasa sosial yang melibatkan pemalsuan catatan alamat. Akun awalnya tidak mengidentifikasi korban atau melaporkan pemulihan, perjanjian pengembalian, atau intervensi dari bursa. Cyvers mengaitkan kerugian tersebut dengan kegagalan untuk memeriksa alamat secara menyeluruh dan menyarankan agar pengguna tidak menganggap riwayat transaksi sebagai buku alamat yang dapat dipercaya.
Perusahaan keamanan tersebut juga mencatat bahwa konversi tampaknya dimaksudkan untuk mengurangi risiko stablecoin dibekukan. Kasus terpisah yang dilaporkan pada 21 Desember 2025 melibatkan seorang trader yang mentransfer 49.999.950 USDT ke alamat penipuan setelah terlebih dahulu mengirim pembayaran uji sebesar 50 USDT kepada penerima yang sama. Menurut laporan tersebut, penyerang menyisipkan transaksi debu sebesar 0,005 USDT ke dalam riwayat korban sebelum pembayaran yang lebih besar. Tiruan tersebut memiliki kesamaan dengan tiga karakter pertama dan empat karakter terakhir dari alamat yang sah, dan korban menyalinnya saat menyiapkan transfer yang lebih besar.
Peringatan dan Rekomendasi dari MetaMask
Pemantauan oleh SlowMist yang dikutip dalam laporan tersebut menyatakan bahwa dana tersebut kemudian dikonversi menjadi ETH, didistribusikan ke berbagai dompet, dan sebagian dipindahkan melalui Tornado Cash. Korban kemudian menawarkan hadiah sebesar $1 juta dan menuntut pengembalian 98% dari dana dalam waktu 48 jam melalui pesan on-chain. MetaMask menjelaskan bahwa dompetnya membandingkan alamat tujuan yang diusulkan dengan alamat dalam riwayat transaksi pengirim. Jika alamat baru sangat mirip dengan alamat yang sebelumnya digunakan, perangkat lunak akan menampilkan peringatan sebelum pengiriman dilakukan. Dokumentasi MetaMask memberikan contoh pencocokan empat karakter pertama dan terakhir dengan karakter yang berbeda di tengah.
Peringatan terpisah juga muncul ketika pengguna mengirim dana ke alamat yang belum pernah mereka interaksikan sebelumnya, meskipun penyedia menyatakan bahwa alamat yang tidak dikenal tidak selalu berbahaya. MetaMask merekomendasikan agar pengguna menyimpan alamat yang terverifikasi dalam daftar Kontak.
Kritik dan Klarifikasi dari Pengguna
Pada 14 Maret, salah satu pendiri Binance, Changpeng Zhao, mengkritik spam dalam riwayat transaksi setelah seorang pengguna yang diidentifikasi sebagai Nima melaporkan menerima 89 email racun alamat dalam waktu kurang dari 30 menit setelah melakukan dua transfer stablecoin di Ethereum. Zhao menyatakan bahwa Trust Wallet sudah menyaring transaksi dan menyerukan kepada penjelajah blockchain untuk menghapus entri berbahaya.
Nima memperingatkan, “Begitu banyak yang akan menjadi korban dari ini,” menurut laporan tersebut. Pesan yang dilaporkan mendokumentasikan upaya racun yang berulang; mereka tidak dijelaskan sebagai 89 pencurian yang berhasil.
Etherscan mengeluarkan peringatan tentang metode tersebut, menjelaskan bahwa penyerang berusaha membujuk pengguna untuk menyalin alamat yang terlihat mirip dari riwayat transaksi. Zhao mengakui bahwa penyaringan dapat mempengaruhi pembayaran kecil antara agen AI dan menyarankan penggunaan AI untuk membedakan transfer yang sah dari spam.
Peringatan dari Ledger
Pada Juni 2024, Ledger memperingatkan tentang transaksi palsu yang dirancang untuk membuat pengguna percaya bahwa mereka sebelumnya telah mengirim dana ke alamat penyerang. Peringatan tersebut menggambarkan alamat tiruan yang berbagi empat atau lima karakter pertama dan empat atau lima karakter terakhir dari alamat yang sah. Ledger menegaskan bahwa entri yang tidak diminta tidak akan mentransfer nilai dari akun penerima. Pembayaran keluar akan memerlukan pengguna untuk memulai dan menandatangani transaksi dengan perangkat mereka.
Perusahaan menyarankan pengguna untuk menyembunyikan token dan NFT yang tidak diinginkan dalam antarmuka dompet dan menghindari berinteraksi dengan aset mencurigakan atau alamat terkait. Peringatan Ledger juga mencakup setoran cryptocurrency kecil dan NFT yang disamarkan sebagai voucher, yang dapat membuat pengguna mengirim aset kembali ke akun penipuan. Menurut panduan Ledger pada Juni 2024, pengguna dapat menghapus aset yang tidak diminta dari tampilan dengan mengklik kanan dan memilih opsi untuk menyembunyikan token atau koleksi NFT.
