Penipuan migrasi dan swap token palsu

Penipuan migrasi token adalah penipuan di mana pelaku kejahatan memberi tahu Anda bahwa token yang Anda pegang harus “di-upgrade”, “dimigrasikan”, atau “di-swap” ke versi baru, lalu mengarahkan Anda ke portal palsu yang menguras dompet Anda melalui persetujuan berbahaya, tanda tangan, atau permintaan frasa pemulihan. Penipuan ini berhasil karena migrasi asli memang terjadi, sehingga ceritanya terdengar masuk akal.

Proyek secara sah mengganti kontrak untuk upgrade, rebranding, atau perpindahan chain. Peralihan Polygon dari MATIC ke POL adalah salah satu contoh terkenal transisi yang asli. Setiap migrasi asli menciptakan jendela waktu di mana pemegang menunggu instruksi, dan penipu berlomba mengisi jendela itu dengan instruksi palsu.

Mengapa migrasi asli membuka celah

Ada alasan sah mengapa sebuah proyek mungkin meminta pemegang untuk menukar token:

• Upgrade kontrak. Sebuah bug atau fitur baru memerlukan kontrak token baru.
• Rebranding dan pergantian token. Sebuah proyek mengganti satu token dengan penerusnya.
• Perpindahan chain. Sebuah token pindah dari satu blockchain ke blockchain lain, misalnya dari ERC-20 ke mainnet milik proyek itu sendiri.
• Redenominasi. Pasokan dipecah atau digabung, misalnya 1 token lama menjadi 100 token baru.

Masing-masing situasi ini menimbulkan kebingungan, dan kebingungan menguntungkan penipu. Banyak pemegang tidak mengikuti berita proyek dengan saksama, sehingga pesan meyakinkan yang mengatakan “token lama akan dihentikan” bisa terasa seperti informasi yang mendesak dan bermanfaat. Bacaan terkait: Phishing melalui iklan pencarian.

Cara kerja penipuan, langkah demi langkah

1. 1Memilih target. Penipu memantau migrasi yang diumumkan, atau sekadar mengarang migrasi untuk token yang populer.
2. 2Membangun portal. Mereka menyalin desain situs web proyek ke domain yang mirip dengan tombol “Migrasi” atau “Klaim V2”.
3. 3Menyebarkan tautan. Mereka memasang tautan di balasan akun resmi, memasang iklan pencarian, mengirim pesan langsung di Telegram dan Discord, melakukan airdrop token tak bernilai yang namanya berupa URL, atau menyamar sebagai staf dukungan.
4. 4Menciptakan desakan. Pesan-pesan itu mengklaim token lama akan “berhenti berfungsi” atau “kehilangan seluruh nilainya” dalam hitungan jam.
5. 5Mengambil dana. Portal meminta Anda menghubungkan dompet lalu menyetujui pembelanjaan tanpa batas, menandatangani pesan permit atau Permit2, mengirim token ke “kontrak migrasi”, atau “memvalidasi” dompet dengan memasukkan frasa pemulihan.
6. 6Menguras dan mencuci. Begitu Anda menandatangani, drainer otomatis memindahkan token Anda keluar, sering kali dalam hitungan detik, lalu memecahnya ke banyak alamat.

Untuk mengetahui lebih lanjut tentang trik tanda tangan yang digunakan, lihat panduan kami tentang ice phishing dan tanda tangan permit.

Contoh hipotetis

Berikut ini adalah contoh gabungan untuk ilustrasi, bukan kasus nyata.

Bayangkan seorang pemegang bernama Sam memiliki token DeFi berukuran menengah. Suatu pagi, Sam melihat balasan di bawah unggahan resmi proyek: “Pengingat: token V1 dihentikan pada tengah malam UTC. Migrasi di sini.” Tautan itu mengarah ke situs yang tampak identik dengan situs proyek, dengan satu huruf berbeda pada domainnya. Kami membahas hal ini lebih rinci dalam WalletConnect palsu dan phishing pop-up dompet.

Sam menghubungkan dompet dan mengklik “Migrasi”. Dompet menampilkan permintaan persetujuan untuk token tersebut dengan jumlah tanpa batas. Sam mengira ini normal untuk sebuah swap dan mengonfirmasi. Dalam satu menit, seluruh saldo token keluar dari dompet. Permintaan kedua kemudian meminta Sam menandatangani pesan untuk “menerima token V2”; itu adalah permit untuk token lain di dompet. Tidak ada token V2 yang pernah datang. Proyek yang asli sama sekali tidak mengumumkan migrasi. Lihat juga: Situs bridge palsu.

Daftar periksa tanda bahaya

Cara memverifikasi migrasi yang asli

1. 1Datangi sumbernya sendiri. Ketik domain resmi proyek atau gunakan bookmark. Periksa dokumentasi dan blog resmi untuk halaman migrasi. Panduan kami tentang cara memverifikasi bahwa sebuah situs web adalah situs resmi proyek menjelaskan caranya.
2. 2Periksa silang pengumumannya. Pastikan pengumuman itu muncul di akun media sosial proyek yang terverifikasi dan, idealnya, diberitakan oleh bursa yang mencantumkan token tersebut.
3. 3Periksa bursa Anda. Jika token Anda ada di bursa, cari pemberitahuan resmi dari bursa tersebut. Bursa biasanya menangani penukaran untuk pelanggan.
4. 4Verifikasi kontrak baru. Bandingkan alamat token baru di dokumentasi resmi dan di block explorer, seperti dijelaskan dalam panduan kami tentang memverifikasi alamat kontrak resmi sebuah token.
5. 5Baca transaksinya sebelum menandatangani. Pastikan kontrak yang Anda setujui cocok dengan kontrak migrasi yang terdokumentasi, dan batasi jumlah persetujuan jika memungkinkan.
6. 6Tunggu jika ragu. Migrasi asli jarang merugikan pemegang yang meluangkan satu hari untuk memverifikasi.

Apa yang harus dilakukan jika Anda tertipu

Bertindaklah cepat, dengan urutan ini:

1. 1Cabut persetujuan. Gunakan alat persetujuan tepercaya untuk mencabut setiap persetujuan atau permit yang diberikan kepada kontrak penipu. Lihat cara mencabut persetujuan token.
2. 2Amankan dompet. Jika Anda memasukkan frasa pemulihan, anggap dompet sudah disusupi dan pindahkan aset yang tersisa ke dompet yang benar-benar baru dengan frasa pemulihan baru. Ikuti daftar periksa kami tentang apa yang harus segera dilakukan jika dompet Anda disusupi.
3. 3Simpan bukti. Simpan URL, tangkapan layar, hash transaksi, dan alamat penipu.
4. 4Laporkan. Beri tahu proyek yang asli, penyedia dompet Anda, dan platform tempat Anda melihat tautan tersebut. Anda juga dapat melaporkan situs dan alamatnya kepada kami melalui formulir laporan penipuan kami.
5. 5Waspadai penipuan pemulihan dana. Orang yang menjanjikan pemulihan dana Anda dengan imbalan biaya hampir selalu menjalankan penipuan kedua.

Kesimpulan

Penipuan migrasi token memanfaatkan proses yang nyata: proyek terkadang memang menukar atau meng-upgrade token. Pertahanannya sederhana tetapi tegas. Hanya ikuti instruksi migrasi yang Anda temukan sendiri di kanal resmi, verifikasi alamat kontrak baru, jangan pernah membagikan frasa pemulihan, dan anggap desakan serta pesan pribadi sebagai tanda bahaya. Jika sebuah migrasi memang asli, migrasi itu masih akan ada setelah Anda memeriksanya.