Seorang pengguna kripto kehilangan sekitar 100.000 USDT setelah menjadi korban trik "address poisoning" yang menanamkan alamat palsu di riwayat transaksi mereka dua bulan sebelumnya, menurut perusahaan keamanan Cyvers Alerts dalam peringatan pada 11 Agustus. Apa yang terjadi - Sekitar 66 hari sebelum pencurian, penyerang melakukan transaksi kecil yang memasukkan alamat jahat ke dalam riwayat dompet korban. Alamat palsu tersebut meniru karakter awal dan akhir dari alamat yang sebelumnya pernah digunakan korban. - Ketika korban kemudian memulai transfer USDT dalam jumlah besar, mereka mengandalkan riwayat transaksi dan tidak memeriksa seluruh string tujuan. Dana tersebut dikirim ke alamat penyerang, bukan penerima yang dimaksud. - Setelah menerima USDT, penyerang menukar stablecoin tersebut menjadi ETH. Cyvers melaporkan bahwa dompet penerima pada saat peringatan berisi sekitar 52,8 ETH. Bagaimana address poisoning bekerja - Penjelajah blok dan antarmuka dompet umumnya memendekkan alamat agar hanya menampilkan beberapa karakter awal dan akhir. Penyerang memanfaatkan hal ini dengan membuat alamat yang cocok dengan segmen yang terlihat, lalu "mendust" riwayat target dengan transaksi bernilai kecil atau nol. - Ini adalah taktik rekayasa sosial, bukan pelanggaran terhadap kunci pribadi, kontrak pintar, atau perangkat lunak dompet. Cyvers tidak menemukan bukti adanya kelemahan pada Tether, ethereum, atau dompet korban—hanya catatan alamat palsu dan pengguna yang tidak memverifikasi alamat lengkap. Mengapa penyerang mengonversi USDT menjadi ETH - USDT yang dikendalikan Tether dapat dibekukan oleh penerbit; ETH asli tidak dapat. Mengonversi ke ETH mengurangi risiko stablecoin yang dicuri diblokir dan memungkinkan penyerang memindahkan nilai lebih bebas, meskipun ini mengekspos mereka terhadap volatilitas harga ETH. Konteks: kerugian lebih besar dan ancaman yang berkembang - Address poisoning telah menjadi penyebab pencurian dengan kerugian jauh lebih besar. Laporan sebelumnya menemukan dua pengguna kehilangan total $62 juta—sekitar $50 juta dalam kasus Desember 2025 dan $12,25 juta lagi pada Januari 2026—setelah penyerang memasukkan alamat mirip ke dalam riwayat korban. - Dalam insiden Desember, salah satu korban mengirim transfer uji 50 USDT ke alamat yang benar, setelah itu penyerang memasukkan entri palsu melalui transaksi dust 0,005 USDT; korban kemudian mengirim hampir 50 juta USDT ke alamat yang telah diracuni. - Biaya transaksi rendah memungkinkan kampanye dusting otomatis massal. Perusahaan keamanan melaporkan jutaan transaksi dust per hari, dan beberapa pengguna menerima puluhan peringatan poisoning dalam hitungan menit setelah transfer sah. - Praktik ini menuai kritik terhadap penjelajah yang menampilkan transaksi dust dan bernilai nol; platform berbeda dalam perlindungan default mereka (misalnya, Etherscan menyembunyikan transaksi bernilai nol secara default, sementara BscScan dan BaseScan memerlukan pengaktifan opsi). Saran untuk pengguna - Jangan pernah mengandalkan riwayat transaksi semata sebagai buku alamat. Selalu verifikasi alamat tujuan lengkap sebelum menyetujui pembayaran on-chain. - Gunakan konfirmasi out-of-band (pesan atau panggilan terpisah) untuk transfer besar dan pertimbangkan untuk memasukkan alamat tepercaya ke daftar putih. - Kirim jumlah uji kecil sebelum memindahkan dana besar—tetapi sadari bahwa uji coba saja bisa gagal jika penyerang memasukkan alamat mirip segera setelah uji coba. - Dompet keras dapat membantu dengan menampilkan detail tujuan saat penandatanganan, tetapi pengguna tetap harus membaca dan membandingkan alamat lengkap yang ditampilkan. Sudut pandang regulasi - Di AS, para pembuat undang-undang sedang mempertimbangkan koordinasi anti-penipuan yang lebih luas. Senator Elissa Slotkin dan Jerry Moran memperkenalkan SAFE Crypto Act pada 2025 untuk menciptakan gugus tugas antarlembaga guna mengidentifikasi, memantau, dan mencegah penipuan kripto. RUU ini berfokus pada deteksi dan koordinasi; tidak menciptakan program penggantian untuk korban transfer yang tidak dapat dipulihkan. Tidak ada pemulihan dilaporkan - Cyvers tidak mengidentifikasi korban atau melaporkan adanya pemulihan, intervensi bursa, atau kesepakatan pengembalian dalam peringatan awalnya. Intinya: address poisoning murah untuk dijalankan dan sangat efektif ketika pengguna tidak memverifikasi alamat lengkap. Untuk transfer on-chain dalam jumlah besar, periksa setiap karakter dua kali, konfirmasi tujuan di luar rantai, dan tetapkan alamat tepercaya jika memungkinkan.
Penipuan address-poisoning mencuri ~$100K USDT melalui riwayat dompet palsu
ChainGPTBagikan
Ringkasan
Scam penipuan alamat baru-baru ini menghasilkan sekitar $100K dalam USDT bagi para penyerang, menurut laporan ChainGPT. Scam ini melibatkan penyisipan alamat palsu ke dalam riwayat dompet korban, tampak sah karena kemiripannya dengan alamat sebelumnya. Korban, yang mengandalkan catatan transaksi masa lalu, mengirim jumlah USDT besar tanpa memeriksa ulang, memungkinkan penipu untuk menarik seluruh dana. Setelah mengonversi USDT menjadi ETH, penyerang menghindari kemungkinan pembekuan aset. Cyvers Alerts mengonfirmasi tidak ada kelemahan teknis pada Tether, Ethereum, atau dompet, dan menyalahkan scam ini pada taktik rekayasa sosial. Pedagang sebaiknya memantau altcoin secara waspada mengingat meningkatnya risiko, terutama karena indeks ketakutan dan keserakahan menunjukkan kecemasan pasar yang meningkat.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.