Risiko Penipuan Phishing untuk Pengguna MetaMask
Pengguna MetaMask kini menghadapi risiko tinggi akibat penipuan phishing baru yang mengklaim sebagai “verifikasi 2FA”. Penipuan ini bertujuan untuk mencuri seed phrase pengguna dengan dalih meningkatkan keamanan. Menurut laporan dari perusahaan keamanan blockchain SlowMist, pengguna MetaMask menerima email palsu yang menciptakan rasa urgensi dengan mendorong mereka untuk mengaktifkan Two-Factor Authentication (2FA). Pesan tersebut tampak resmi dan bermerek MetaMask, sehingga terlihat meyakinkan pada pandangan pertama.
Metode Penipuan dan Tanda Peringatan
Yang lebih mencolok, pemberitahuan jahat ini dilengkapi dengan timer hitung mundur, yang semakin meningkatkan tekanan pada pengguna untuk segera merespons. Setelah mengklik tombol “Aktifkan 2FA Sekarang”, pengguna akan diarahkan ke halaman palsu yang dihosting oleh penyerang. Namun, seluruh proses ini sebenarnya adalah tipuan. Tujuan utama dari penipuan ini adalah untuk menipu pengguna MetaMask agar memasukkan mnemonic phrase mereka, yang kemudian dapat digunakan oleh penyerang untuk mengakses dan mentransfer dana dari dompet mereka.
Meskipun pengguna yang kurang berhati-hati mungkin terjebak dalam skema ini, email palsu tersebut mengandung beberapa petunjuk yang dapat membantu pengguna mengenali penipuan. Misalnya, pesan phishing sering kali menyertakan kesalahan ketik halus atau ketidakkonsistenan desain yang dapat mengungkapkan sifat sebenarnya. Dalam kasus ini, URL yang dituju oleh pengguna MetaMask dieja sebagai “mertamask” alih-alih “metamask”. Selain itu, email ini sering kali dikirim dari akun yang tidak terkait atau dari alamat yang menggunakan domain publik seperti Gmail.
Peringatan dari MetaMask dan Insiden Terkait
Penting untuk diingat bahwa MetaMask tidak pernah mengirim email yang tidak diminta yang meminta pengguna untuk memverifikasi akun atau melakukan pembaruan keamanan. Permintaan semacam itu biasanya adalah penipuan. Akhir pekan lalu, peneliti keamanan siber Vladimir S. juga menandai kampanye serupa yang mendorong pembaruan aplikasi MetaMask palsu. Kampanye ini diduga terhubung dengan eksploitasi yang sedang berlangsung yang menguras dompet pengguna. Menurut penyelidik on-chain ZachXBT, insiden tersebut mengakibatkan kerugian kurang dari $2,000 per dompet, tetapi mempengaruhi banyak pengguna di berbagai jaringan yang kompatibel dengan EVM. Namun, belum ada konfirmasi apakah kedua kampanye tersebut saling terhubung.
Hubungan dengan Insiden Lain
Insiden ini juga terkait dengan peretasan Trust Wallet yang terjadi pada Hari Natal, di mana kerugian mencapai sekitar $7 juta. Penyerang berhasil mengakses kode sumber ekstensi browser dompet dan mengunggah versi jahat dari ekstensi tersebut ke Chrome Web Store. Trust Wallet telah berjanji untuk mengganti semua pengguna yang terkena dampak insiden tersebut.
Secara terpisah, pengguna Cardano juga diperingatkan tentang serangan berbeda yang sedang berlangsung, yang menyebarkan email yang mempromosikan aplikasi Eternl Desktop yang menipu. Meskipun semua peristiwa ini terjadi dalam waktu kurang dari dua minggu, laporan Scam Sniffer terbaru menunjukkan bahwa total kerugian dari kampanye phishing crypto turun hampir 88% pada tahun 2025 dibandingkan tahun sebelumnya.
