Situs bridge palsu: Cara menggunakan bridge tanpa dompet terkuras

Situs bridge palsu adalah salinan tiruan dari bridge lintas chain asli yang menipu Anda agar menandatangani transaksi atau persetujuan token yang menyerahkan dana Anda kepada penyerang. Agar bisa melakukan bridge tanpa dompet terkuras, akses bridge hanya melalui bookmark yang sudah diverifikasi atau dokumentasi resmi, periksa domain dan alamat kontrak, baca setiap permintaan dompet sebelum menandatangani, dan uji coba dengan jumlah kecil terlebih dahulu.

Bridge memindahkan token dari satu blockchain ke blockchain lain, misalnya dari Ethereum ke jaringan layer 2. Karena pengguna sering melakukan bridge saat terburu-buru, mengejar jaringan baru, airdrop, atau peluang trading, antarmuka bridge menjadi sasaran favorit phishing. Panduan ini menjelaskan cara kerja penipuan tersebut dan rutinitas yang dapat mencegahnya.

Cara kerja serangan bridge palsu

Sebagian besar penipuan bridge palsu mengikuti langkah-langkah yang sama:

1. 1Salinan. Penyerang mengkloning front end dari bridge populer dan menempatkannya di domain yang berbeda satu huruf, satu tanda hubung, atau akhiran yang berbeda.
2. 2Umpan. Penyerang mempromosikan tautan melalui iklan pencarian berbayar, balasan di bawah unggahan proyek asli, akun “dukungan” palsu, atau pengumuman bahwa jaringan baru atau airdrop mengharuskan bridge.
3. 3Koneksi. Anda menghubungkan dompet. Situs membaca saldo Anda sehingga tahu token mana yang layak diincar.
4. 4Permintaan. Anda mengklik “bridge”. Alih-alih memanggil kontrak bridge yang asli, situs meminta Anda menyetujui token untuk kontrak milik penyerang, menandatangani permit off-chain, atau mengirim dana langsung ke alamat penyerang.
5. 5Pengurasan. Setelah disetujui, kontrak penyerang menarik token Anda. Sering kali situs menampilkan pesan palsu “bridge sedang diproses” untuk mengulur waktu.

Karena antarmukanya terlihat identik, domain dan permintaan dompet adalah satu-satunya petunjuk yang dapat diandalkan. Panduan kami tentang wallet drainer dan phishing tanda tangan permit menjelaskan trik tanda tangan secara rinci.

Contoh hipotetis

Berikut ini adalah contoh gabungan untuk ilustrasi, bukan kasus nyata. Bayangkan seorang pengguna yang ingin memindahkan stablecoin dari Ethereum ke jaringan layer 2 baru agar memenuhi syarat untuk airdrop yang sedang dirumorkan. Ia mencari bridge jaringan tersebut, mengklik hasil pertama, yang ternyata iklan berbayar, lalu tiba di situs yang tampak persis seperti bridge resmi.

Ia menghubungkan dompet dan memasukkan jumlahnya. Dompet menampilkan permintaan persetujuan akses “tanpa batas” ke stablecoin miliknya oleh kontrak yang belum pernah ia lihat. Ia mengira itu normal untuk bridge dan menyetujuinya. Dalam satu menit, seluruh saldo stablecoin-nya ditransfer keluar, sementara situs terus menampilkan “menunggu konfirmasi”. Saat ia menyadari bahwa bridge tidak pernah terjadi, dana tersebut sudah di-swap dan dipindahkan melalui beberapa alamat.

Kerugian itu berasal dari tiga jalan pintas: menggunakan iklan pencarian, melewatkan pemeriksaan domain, dan menyetujui kontrak yang tidak dikenal dengan izin tanpa batas.

Daftar periksa tanda bahaya

Cara melakukan bridge dengan aman

Gunakan rutinitas ini setiap kali:

1. 1Temukan bridge resmi dari sumbernya. Buka dokumentasi resmi jaringan tujuan dan ikuti tautan bridge dari sana. Panduan kami tentang cara memverifikasi bahwa sebuah situs web adalah situs resmi proyek menjelaskan cara memastikan Anda berada di domain yang benar.
2. 2Simpan sebagai bookmark. Sejak saat itu, gunakan bookmark tersebut. Jangan pernah mencari bridge lalu mengklik iklan.
3. 3Periksa kontraknya. Jika proyek mempublikasikan alamat kontrak bridge, bandingkan dengan yang ditampilkan dompet Anda sebelum menyetujui.
4. 4Batasi persetujuan. Setujui hanya jumlah yang akan Anda bridge, bukan tanpa batas, jika dompet Anda memungkinkan.
5. 5Kirim uji coba kecil. Lakukan bridge dengan jumlah kecil terlebih dahulu dan pastikan dana tiba di jaringan tujuan.
6. 6Gunakan dompet terpisah untuk eksperimen. Dompet sekali pakai dengan dana terbatas akan membatasi kerugian Anda jika terjadi masalah.
7. 7Cabut setelah selesai. Hapus persetujuan yang tidak lagi Anda perlukan, seperti dijelaskan dalam panduan kami tentang mencabut persetujuan token.

Untuk risiko yang lebih luas dari bridge itu sendiri, termasuk bug smart contract, baca cara melakukan bridge kripto antar-blockchain dengan aman.

Apa yang harus dilakukan jika Anda menggunakan bridge palsu

Bertindaklah cepat:

1. 1Putuskan koneksi situs dan tutup tab.
2. 2Cabut persetujuan untuk semua kontrak yang Anda setujui, menggunakan pemeriksa persetujuan tepercaya yang diakses melalui bookmark.
3. 3Pindahkan aset yang tersisa ke dompet yang benar-benar baru dengan frasa pemulihan baru jika Anda menandatangani sesuatu yang mencurigakan atau memasukkan frasa pemulihan.
4. 4Catat detailnya: domain, hash transaksi, dan alamat penyerang.
5. 5Laporkan ke proyek bridge yang asli, ke bursa tempat dana mungkin berakhir, dan melalui formulir laporan penipuan kami agar orang lain dapat diperingatkan.

Panduan langkah demi langkah kami tentang apa yang harus segera dilakukan jika dompet Anda disusupi mencakup seluruh penanganannya. Abaikan siapa pun yang menghubungi Anda dengan tawaran memulihkan dana dengan imbalan biaya; penipuan pemulihan dana menyasar korban baru. Untuk pembahasan lebih mendalam, lihat Penipuan kartu debit kripto dan tawaran kartu palsu.

Kesimpulan

Situs bridge palsu berhasil karena tampak persis seperti aslinya dan menjebak orang yang sedang terburu-buru. Jadikan domain dan permintaan dompet sebagai patokan kebenaran, bukan desain halaman. Akses bridge hanya melalui dokumentasi resmi dan bookmark, setujui hanya yang Anda perlukan, uji coba dengan jumlah kecil, dan cabut persetujuan setelahnya.