Penipuan airdrop crypto: modus drainer, grup palsu, dan cara aman

Airdrop menarik penipu karena alasan sederhana: korban memang menunggu diminta connect wallet dan menekan tombol. Penipu cukup membuat tombol itu melakukan hal yang berbeda dari yang kamu kira. Di Indonesia, umpannya sering datang lewat grup Telegram dan WhatsApp yang mengaku komunitas garapan. Sisa halaman ini membahas bagaimana tipuan itu dijalankan dan cara menangkapnya.

Anatomi serangan drainer

Wallet drainer adalah paket alat yang dijual atau disewakan ke penipu. Isinya tampilan yang meniru halaman klaim asli, plus skrip yang memeriksa wallet yang terhubung, memilih aset paling berharga, lalu menyusun permintaan tanda tangan untuk memindahkannya. Paket itu yang "berpikir", jadi pelakunya tidak perlu keahlian teknis. Itulah sebabnya pola yang sama berulang di mana-mana.

Tidak ada password, seed phrase, atau malware di sini; semuanya lewat fitur wallet standar. Karena itu pertahanan harus fokus pada layar tanda tangan dan asal link.

Apa yang sebenarnya dilakukan tanda tangan jahat

Empat mekanisme menjelaskan sebagian besar kerugian akibat drainer. Semuanya fitur token normal yang dijelaskan di standar publik. Memahaminya menghilangkan kesan misterius.

Approve ERC-20

Standar EIP-20 memungkinkan pemegang token memberi wewenang kepada spender untuk menarik token sampai jumlah tertentu, berkali-kali, melalui approve. Spender lalu memindahkan token dengan transferFrom tanpa bertanya lagi (EIP-20). Drainer memintamu meng-approve alamatnya sendiri, sering dengan jumlah maksimum. Karena itulah ethereum.org menyarankan pengguna tidak memberi batas belanja tanpa batas (ethereum.org security).

setApprovalForAll untuk NFT

Untuk NFT, setApprovalForAll memberi operator kendali atas semua token milikmu di koleksi itu. Teks EIP-721 menyebut operator bisa melakukan apa yang bisa dilakukan pemilik terhadap NFT yang dicakup, termasuk memindahkannya (EIP-721). Halaman mint atau klaim palsu yang meminta ini tidak sedang memberimu sesuatu; ia meminta kendali atas seluruh koleksimu. Marketplace asli memang memakai panggilan ini, tetapi halaman klaim gratis tidak punya alasan untuk itu.

Tanda tangan permit EIP-2612

EIP-2612 menambahkan fungsi permit yang menetapkan allowance dari pesan bertanda tangan, bukan dari transaksi. Tanda tangan itu mencakup owner, spender, nilai, nonce, dan deadline, dan siapa pun bisa mengirimkannya ke jaringan, karena yang memberi wewenang adalah tanda tangannya, bukan pengirimnya (EIP-2612). Jebakannya: menandatangani tidak memakan gas, jadi popup-nya terasa seperti login biasa. Tidak ada transaksi yang bisa diperiksa di block explorer sampai penyerang memakainya. Deadline yang diisi nilai maksimum praktis membuatnya tidak pernah kedaluwarsa.

Tanda tangan Permit2

Permit2 adalah kontrak Uniswap dengan dua modul. SignatureTransfer memberi wewenang untuk satu transfer; AllowanceTransfer menyimpan allowance tetap dengan jumlah dan masa berlaku (dokumentasi Uniswap). Revoke.cash mencatat bahwa Permit2 bisa meng-approve beberapa token sekaligus, sehingga lebih sulit memahami apa yang sedang kamu setujui, dan situs phishing memanfaatkan kebingungan itu (Revoke.cash).

Blind signing

Blind signing berarti mengonfirmasi data yang tidak bisa ditampilkan wallet dalam bentuk terbaca, misalnya pesan hex mentah. Aturan redaksi: kalau layar menampilkan spender yang tidak kamu kenal, jumlah sangat besar, atau permintaan yang tidak cocok dengan halaman yang dibuka, tolak.

Enam jalan korban sampai ke halaman jahat

Situs klaim palsu dan typosquatting

Domain yang berbeda satu huruf dari yang asli, ada tambahan kata ("claim", "rewards"), beda domain tingkat atas, atau memakai karakter yang mirip. Iklan berbayar di mesin pencari kadang menaruhnya di atas link asli. Bookmark situs resmi sekali saja, dari dokumentasi proyek, lalu selalu pakai bookmark itu.

Pengumuman palsu di X, Discord, dan Telegram

Akun proyek asli yang dibajak, akun kloningan dengan nama hampir sama, dan postingan palsu "snapshot sudah diambil" atau "klaim sudah dibuka" di kanal komunitas. Ethereum.org memperingatkan bahwa pratinjau link di X bisa dipalsukan agar menampilkan domain tepercaya padahal mengarah ke tempat lain (sumber). Jebakan khas Telegram dibahas di panduan airdrop Telegram.

Token umpan, dust, dan NFT tak diundang

Token muncul di wallet tanpa kamu melakukan apa pun. Nama token atau metadatanya berisi URL, atau entri di block explorer mendorongmu ke halaman "klaim hadiahmu". Ethereum.org mencantumkan ini sebagai varian scam airdrop: token atau NFT tak diminta yang mengarah ke situs peminta tanda tangan atau approval. Cukup abaikan tokennya. Lihat juga airdrop NFT.

DM dari "admin" atau "support"

Kamu bertanya di grup publik, dan dalam hitungan menit seorang "admin" atau "moderator" mengirim pesan pribadi. Ethereum.org mencatat peniru mendekati pengguna lewat pesan pribadi setelah melihat permintaan bantuan, dan staf asli tidak menghubungi orang lewat kanal pribadi tidak resmi. Anggap setiap DM yang tidak kamu minta sebagai musuh.

Ekstensi browser jahat dan aplikasi wallet palsu

Ekstensi wallet kloningan atau ekstensi "airdrop tracker" bisa membaca isi halaman atau meminta izin membaca semua situs yang kamu kunjungi. Ethereum.org menyarankan memasang ekstensi hanya dari sumber tepercaya dan menghapus yang tidak dipakai. Jangan pasang apa pun yang direkomendasikan lewat DM atau komentar.

Phishing seed phrase

Sebuah halaman atau "support" memintamu memasukkan recovery phrase untuk "verifikasi" atau "sinkronisasi" kelayakan. Ini penipuan tertua dan masih berhasil. Dibahas khusus di bagian bawah.

Modus yang marak di Indonesia

Selain drainer global di atas, ada pola yang sangat akrab bagi pejuang airdrop di Indonesia. Sebagian besar bukan airdrop sama sekali, melainkan skema investasi atau "kerja online" yang memakai kata airdrop sebagai bungkus.

Cek 10 detik

Kamu tidak akan melakukan investigasi forensik sebelum setiap klaim. Tetapi kamu bisa menjalankan rutinitas singkat yang memblokir sebagian besar serangan. Centang item saat kamu melatihnya; progres tersimpan di browser kamu saja.

Langkah burner lebih penting dari kelihatannya. Orang yang paling hati-hati pun suatu saat bisa salah tanda tangan; pertanyaannya, apa yang terekspos saat itu terjadi. Wallet yang hanya berisi aset garapan membatasi kerugian. Baca panduan burner wallet untuk setup yang rapi.

Tanda bahaya: kenapa berhasil dan apa yang harus dilakukan

Phishing seed phrase dan risiko ekstensi

Recovery phrase bukan password yang bisa di-reset. Ethereum.org menyarankan jangan pernah membagikannya dengan alasan apa pun, siapa pun yang memegangnya bisa menguras akunmu, dan sebaiknya jangan disimpan sebagai screenshot karena bisa tersinkron ke cloud (sumber). Konsekuensi praktisnya: situs, formulir, chatbot, atau orang yang meminta frasa itu adalah penipu dalam semua kasus. Menandatangani dan connect wallet tidak pernah membutuhkannya.

Ekstensi browser pantas dicurigai dengan cara yang sama: ekstensi jahat bisa menukar alamat tujuan atau menampilkan halaman berbeda. Pasang sesedikit mungkin ekstensi dan pakai profil browser terpisah yang hanya berisi wallet untuk garapan.

Kalau sudah terlanjur menandatangani permintaan jahat

Kecepatan menentukan. Drainer sering menguras dalam hitungan menit, kadang juga menunggu. Kerjakan dengan urutan ini.

1. Berhenti berinteraksi. Tutup halamannya. Jangan tanda tangan apa pun lagi, termasuk tawaran "pemulihan dana" dari orang asing di grup, yang merupakan penipuan kedua untuk korban yang sama.
2. Buat wallet baru di perangkat atau profil browser yang bersih. Jangan pakai lagi seed phrase lama kalau pernah diketik di mana pun.
3. Pindahkan yang masih bisa dipindahkan. Kirim aset paling berharga dari wallet yang terekspos ke wallet baru. Gas dibayar dari wallet lama, jadi sisakan sedikit token native untuk itu.
4. Revoke approval-nya. Pakai Revoke.cash atau pemeriksa approval di block explorer untuk setiap jaringan, seperti di panduan revoke. Ethereum.org mencatat revoke membutuhkan transaksi sehingga ada biaya jaringan, dan memutus koneksi wallet tidak menghapus izin token (sumber).
5. Kalau pernah memasukkan seed phrase di mana pun, anggap seluruh wallet hangus. Revoke tidak membantu karena penyerang memegang kuncinya. Pindahkan semuanya.
6. Laporkan. Chainabuse menerima laporan tentang alamat, URL, dan identitas lain, dan menyediakan pelaporan privat untuk kasus sensitif; ia menyebut laporannya memperingatkan komunitas tetapi tidak menggantikan penyelidikan aparat (Chainabuse). Laporkan juga ke kepolisian, sesuai imbauan Polri agar korban segera melapor, dan laporkan domain phishing ke penyedia hosting dan registrarnya.

Kebiasaan default kami

• Anggap setiap klaim berbahaya sampai link-nya terlacak ke dokumentasi resmi. Cara melacaknya ada di cara cek airdrop legit.
• Pisahkan wallet berdasarkan fungsi. Wallet garapan, wallet simpanan, dan tidak ada yang dibagi di antara keduanya.
• Cek approval setiap bulan. Allowance lama adalah risiko yang diam. Approval luas yang ditandatangani tahun lalu masih berlaku hari ini.
• Keluar dari grup yang menjual "jalur cepat" atau meminta biaya.
• Cek daftar kami dengan cara yang sama. Metode verifikasi kami (bahasa Inggris) menjelaskan cara kami mengonfirmasi sumber. Halaman cek klaim airdrop adalah titik awal, bukan pengganti pengecekanmu sendiri.

Untuk mengikuti yang sedang berjalan, daftar airdrop crypto terbaru adalah titik awal yang lebih baik daripada DM atau grup. Apa itu airdrop crypto menjelaskan cara kerja distribusi yang asli, sehingga yang palsu lebih mudah dikenali. Kalau kamu menggarap secara rutin, cara garap airdrop membahas cara menjaga risiko tetap kecil.

Ditulis dan dicek faktanya oleh Tim Redaksi airdrop.promo. Metode: cara kami verifikasi. Menemukan kesalahan? contacts@airdrop.promo. Konten edukasi, bukan saran keuangan atau pajak.