Peringatan dari Changpeng Zhao tentang Kecerdasan Buatan
Pendiri Binance, Changpeng Zhao, telah memperingatkan bahwa kecerdasan buatan (AI) dapat membahayakan pengguna Bitcoin melalui kebocoran data pribadi dan rekayasa sosial, tanpa perlu meretas kriptografi cryptocurrency tersebut. Peringatan ini disampaikan melalui postingan di CoinMarketCap dan Bitcoin Archive.
Kekhawatiran tentang Ancaman Phishing
CoinMarketCap menggambarkan kekhawatiran Zhao sebagai ancaman phishing yang semakin canggih, yang dimungkinkan oleh informasi yang terungkap. Sementara itu, Bitcoin Archive mengaitkan pernyataan tersebut dengan klaim bahwa bank menggunakan enkripsi yang lebih lemah dibandingkan Bitcoin. Namun, tidak ada bukti yang disertakan dalam tangkapan layar yang menunjukkan algoritma, panjang kunci, atau sistem bank yang dapat digunakan untuk membandingkan keamanan tersebut.
Pernyataan Changpeng Zhao
Dalam pernyataannya, CZ menegaskan bahwa AI tidak perlu meretas enkripsi Bitcoin untuk menyebabkan kerusakan. Ia memperingatkan bahwa data yang bocor sudah cukup untuk memungkinkan terjadinya phishing dan serangan rekayasa sosial yang lebih canggih. Peringatan dari FBI pada Desember 2024 juga menunjukkan bahwa penjahat kini menggunakan AI generatif untuk menciptakan penipuan yang lebih meyakinkan dan menjangkau calon korban dengan usaha yang lebih sedikit.
Contoh yang diberikan termasuk situs web investasi cryptocurrency palsu, profil media sosial yang dibuat-buat, dan chatbot yang mengarahkan pengunjung ke tautan berbahaya.
Rekomendasi dari FBI
Panduan FBI juga menggambarkan penggunaan gambar sintetis untuk identitas palsu dan dokumen identifikasi yang menipu, serta panggilan video yang menyamar sebagai eksekutif atau tokoh otoritas lainnya. Mereka memperingatkan bahwa audio yang dikloning dapat meniru suara kerabat yang meminta pembayaran darurat atau digunakan untuk menyamar sebagai pelanggan bank.
Untuk melindungi diri, lembaga tersebut merekomendasikan agar rumah tangga menyepakati kata atau frasa pribadi untuk memverifikasi identitas kerabat. Mereka juga menyarankan agar membatasi gambar dan rekaman suara pribadi yang tersedia untuk umum, yang dapat digunakan oleh penjahat untuk membuat penyamaran yang meyakinkan.
Standar Keamanan Kriptografi
Standar Verifikasi Keamanan Aplikasi OWASP mencantumkan kekuatan kriptografi berdasarkan algoritma dan ukuran kunci, menggunakan tabel perbandingan yang diambil dari panduan yang diterbitkan oleh US National Institute of Standards and Technology (NIST). Tabel tersebut menempatkan AES-128, RSA 3.072-bit, dan kriptografi kurva eliptik dengan kunci 256 hingga 383 bit dalam kategori keamanan 128-bit yang sama.
Namun, kerangka kerja OWASP tidak mengklasifikasikan bank dan Bitcoin sebagai dua sistem yang seragam. Panduan mereka meminta organisasi untuk mengidentifikasi dan mendokumentasikan aset kriptografi mereka, termasuk algoritma, kunci, dan sertifikat, serta menilai mereka seiring dengan perubahan penelitian dan persyaratan kriptografi.
Komputasi Kuantum dan Keamanan
Komputasi kuantum juga menghadirkan pertanyaan teknis yang terpisah dalam panduan yang diterbitkan oleh NIST. Pada Agustus 2024, lembaga tersebut menyelesaikan tiga standar pasca-kuantum yang dimaksudkan untuk melindungi informasi elektronik dari serangan komputer kuantum yang cukup kuat.
Pengumuman mereka menggambarkan mesin yang beroperasi berbeda dari komputer konvensional dan dapat mengalahkan metode kriptografi yang banyak digunakan. NIST menyatakan bahwa standar tersebut mencakup enkripsi umum dan tanda tangan digital, dengan aplikasi yang berkisar dari komunikasi rahasia hingga perdagangan online.
Kasus Serangan Data Pelanggan
Sebuah bursa di AS juga telah mendokumentasikan serangan data pelanggan dengan mekanisme serupa. Pada Mei 2025, Coinbase melaporkan bahwa penjahat menyuap personel dukungan luar negeri untuk mendapatkan informasi yang dapat mereka gunakan saat berpura-pura mewakili perusahaan.
Pengungkapan Coinbase mencantumkan detail kontak, gambar identifikasi pemerintah, pengenal keuangan yang disamarkan, dan informasi akun di antara catatan yang dicuri. Perusahaan menyatakan bahwa para penyerang tidak mendapatkan kunci pribadi atau kredensial login, dan akses yang dicuri tidak memungkinkan mereka untuk memindahkan dana pelanggan.
Penyamaran Melalui Iklan Pencarian
Pengguna dompet perangkat keras juga telah menghadapi penyamaran melalui iklan pencarian. Sebuah penyelidikan pada 25 September oleh Zscaler, yang dibahas dalam artikel 11 Oktober tentang situs web palsu Ledger, menggambarkan iklan Google yang menipu yang mengarahkan pengguna ke antarmuka dompet palsu.
Zscaler mendokumentasikan kampanye yang dianalisis pada bulan Agustus, dengan pengalihan yang melewati Google Cloud Storage dan Vercel sebelum menampilkan halaman phishing yang dihosting melalui Google Sites. Proses verifikasi palsu meminta pengunjung untuk memberikan frasa pemulihan mereka, yang dapat digunakan penyerang untuk mengakses dompet tanpa memiliki perangkat fisik tersebut.
Coinbase menyatakan bahwa penggantian sukarela mereka mencakup pelanggan ritel yang mengirimkan dana kepada penipu sebagai akibat langsung dari insiden tersebut sebelum pengumuman, dengan syarat tinjauan. Namun, pengungkapan tersebut tidak menetapkan bahwa AI digunakan dalam serangan tersebut.
Peringatan kampanye Ledger sendiri menggambarkan surat fisik yang meminta penerima untuk memindai kode QR atau mengunjungi situs web sebelum memasukkan 24 kata pemulihan mereka. Perusahaan memperingatkan bahwa siapa pun yang memegang frasa tersebut dapat mengakses akun yang dibuat dari frasa itu, dan memperingatkan pengguna untuk tidak pernah memasukkannya ke dalam komputer.
