Serangan pencemaran alamat: bagaimana penipu mencuri 50 juta USDT dengan satu klik

Anatomia penipuan: dari riwayat transaksi hingga bencana

Ekosistem kripto baru-baru ini mengalami salah satu serangan paling mengejutkan dalam beberapa tahun terakhir. Pengguna yang aktif mengelola dompet selama hampir dua tahun dan terutama fokus pada transfer USDT, melakukan penarikan sekitar 50 juta dolar dari platform perdagangan. Setelah menerima dana, dia melakukan prosedur yang dianggap aman oleh kebanyakan orang — pertama mengirimkan sejumlah kecil sebagai uji coba.

Beberapa menit kemudian, dia melanjutkan ke transfer utama. Pada saat itu, dia menjadi korban serangan yang dikenal sebagai “address poisoning” (keracunan alamat). Penipu sebelumnya menyiapkan dompet dengan alamat yang sangat mirip dan mengirimkan sejumlah kecil USDT ke sana. Transfer ini muncul dalam riwayat transaksi dompet korban.

Karena alamat blockchain ditampilkan sebagai rangkaian karakter yang panjang dan rumit, pengguna saat menyalin alamat dari transaksi sebelumnya — sebuah prosedur yang dapat digambarkan sebagai foreach melalui daftar kontraktor yang dikenal — tanpa sadar menyalin alamat palsu tersebut. Hasilnya sangat tragis: hampir 50 juta dolar dalam USDT mengalir ke rekening penyerang.

Mekanisme ancaman: mengapa riwayat transaksi menjadi senjata

Yang membuat serangan ini sangat berbahaya adalah skema sederhana dari cara kerjanya. Sebagian besar dompet menampilkan riwayat transfer sebelumnya untuk akses cepat. Pengguna, bekerja secara efisien, biasanya mengambil alamat sebelumnya daripada mengetiknya secara manual. Penipu mengetahui hal ini dan memanfaatkan sifat perilaku manusia tersebut.

Penyerang tidak perlu mengintervensi protokol atau smart contract apa pun. Cukup dengan dompet biasa, transfer minimal, dan menunggu saat korban sedang terburu-buru atau kurang berhati-hati.

Reaksi industri dan pelajaran untuk masa depan

Insiden ini memicu respons cepat dari industri. Penyedia perangkat lunak dompet terkemuka merilis pembaruan keamanan yang memperingatkan pengguna tentang menyalin alamat tanpa refleksi dan merombak antarmuka verifikasi. Layar konfirmasi transaksi menjadi lebih canggih, menuntut perhatian lebih dari pengguna.

Pelajarannya jelas: keamanan di blockchain bukan hanya soal teknologi, tetapi terutama tentang desain antarmuka dan edukasi pengguna. Dompet harus dirancang sedemikian rupa sehingga menyulitkan kesalahan seperti ini, dan pengguna harus memahami bahwa satu klik saja bisa berakibat fatal.