Phishing WalletConnect Palsu dan Pop-Up Wallet: Cara Kerjanya dan Cara Tetap Aman

Phishing WalletConnect adalah penipuan di mana situs web palsu menampilkan jendela “hubungkan wallet” tiruan atau pop-up wallet untuk mengelabui Anda agar mengetik frasa pemulihan atau menandatangani transaksi berbahaya. Protokol WalletConnect yang asli tidak pernah meminta frasa pemulihan Anda; protokol ini hanya meneruskan permintaan koneksi dan transaksi ke aplikasi wallet Anda, tempat Anda menyetujuinya.

Penipuan ini berhasil karena menghubungkan wallet sudah menjadi rutinitas. Orang mengeklik alur yang sama puluhan kali, sehingga tiruan yang meyakinkan mudah lolos. Mengetahui seperti apa alur yang asli adalah pertahanan terbaik.

Cara Kerja Alur Koneksi Wallet yang Asli

Memahami proses yang sah membuat tiruan lebih mudah dikenali:

1. 1Anda mengunjungi aplikasi terdesentralisasi dan mengeklik “Hubungkan wallet”.
2. 2Aplikasi menampilkan daftar pilihan, seperti ekstensi browser atau WalletConnect.
3. 3Jika Anda memilih WalletConnect, aplikasi menampilkan kode QR, atau di ponsel membuka aplikasi wallet Anda melalui deep link.
4. 4Aplikasi wallet Anda menampilkan nama dan domain situs serta meminta Anda menyetujui koneksi.
5. 5Kemudian, saat Anda melakukan suatu tindakan, wallet Anda menampilkan transaksi atau permintaan tanda tangan, dan Anda menyetujui atau menolaknya.

Tidak ada satu tahap pun di mana aplikasi membutuhkan frasa pemulihan atau kunci privat Anda. Semua yang sensitif tetap berada di dalam wallet Anda. Panduan kami tentang izin wallet dan situs yang terhubung menjelaskan apa yang diizinkan dan tidak diizinkan oleh sebuah koneksi. Untuk pembahasan lebih dalam, lihat Hardware Wallet yang Dirusak dan Palsu.

Cara Kerja Penipuan, Langkah demi Langkah

Varian 1: Pencurian frasa pemulihan

1. 1Umpan. Korban melihat pesan tentang suatu masalah: “wallet Anda tidak tersinkron”, “klaim gagal, validasi wallet Anda”, atau “migrasikan token Anda”. Tautan datang melalui balasan di media sosial, akun dukungan palsu, iklan, atau email.
2. 2Situs palsu. Halaman tampak seperti situs netral “alat wallet” atau “rektifikasi dapp”, sering dengan branding WalletConnect dan deretan logo wallet.
3. 3Kegagalan palsu. Mengeklik logo wallet menampilkan ikon pemuatan palsu, lalu pesan kesalahan: “Koneksi otomatis gagal. Hubungkan secara manual.”
4. 4Pencurian. Opsi “manual” meminta 12 atau 24 kata pemulihan, kunci privat, atau file keystore Anda. Apa pun yang Anda masukkan dikirim ke penipu, yang menguras wallet dalam hitungan menit.

Varian 2: Tanda tangan berbahaya

Di sini situs terhubung dengan benar ke wallet asli Anda, lalu meminta Anda menandatangani sesuatu yang merugikan: persetujuan token tanpa batas, tanda tangan permit, atau transaksi yang mentransfer aset. Pop-up-nya asli; permintaannya berbahaya. Penjelasan kami tentang ice phishing dan tanda tangan permit membahasnya secara mendalam.

Varian 3: Jendela wallet palsu di dalam halaman

Beberapa situs menggambar tiruan sempurna dari wallet ekstensi populer di dalam halaman, lengkap dengan logo dan kotak kata sandi. Tiruan ini bisa meminta kata sandi Anda dulu, lalu frasa pemulihan Anda “untuk memulihkan akses”. Bacaan terkait: Phishing Melalui Iklan Penelusuran.

Contoh Hipotetis

Berikut adalah skenario gabungan yang bersifat ilustratif, bukan kasus nyata. Bayangkan Maya, yang memegang token dari airdrop sebuah proyek di masa lalu. Ia mengunggah di media sosial bahwa klaimnya gagal. Dalam beberapa menit, sebuah akun dengan logo proyek tersebut membalas: “Mohon maaf atas kendalanya! Gunakan portal sinkronisasi wallet kami untuk memperbaiki klaim yang tertunda,” disertai tautan.

Situs menampilkan jendela bergaya WalletConnect. Ia memilih wallet-nya, melihat “Kesalahan koneksi, silakan hubungkan secara manual,” dan sebuah kotak meminta frasa pemulihannya. Ia mengetiknya. Sepuluh menit kemudian, token-nya dan koin asli jaringan tersebut telah dipindahkan keluar. Akun “dukungan” itu menghapus balasannya.

Setiap langkah memiliki tanda bahaya: bantuan yang tidak diminta, tautan tidak resmi, dan yang terpenting, permintaan frasa pemulihannya. Artikel kami Penipuan Pinjaman Kripto membahas poin ini lebih lanjut.

Daftar Periksa Tanda Bahaya

• Sebuah situs atau jendela meminta frasa pemulihan, kunci privat, atau file keystore Anda. Ini saja sudah berarti penipuan.
• “Jendela wallet” tidak bisa diseret keluar dari browser, atau menghilang saat Anda berpindah tab.
• Tautan dikirim kepada Anda melalui balasan, pesan langsung, iklan, atau “agen dukungan”.
• Domainnya asing, salah eja, atau memakai ekstensi aneh, dan tidak ditautkan dari situs resmi proyek.
• Halaman mengklaim ada masalah umum seperti “sinkronisasi”, “validasi”, “rektifikasi”, atau “whitelist” yang perlu diperbaiki.
• Wallet Anda menampilkan permintaan untuk menyetujui pengeluaran tanpa batas atau menandatangani pesan yang tidak terbaca dan tidak Anda duga.
• Ada desakan: “aset Anda akan dibekukan dalam 30 menit”.

Cara Melindungi Diri

1. 1Jangan pernah mengetik frasa pemulihan di situs web mana pun. Frasa pemulihan hanya dimasukkan ke aplikasi wallet Anda saat memulihkannya, di perangkat Anda sendiri.
2. 2Buka aplikasi dari bookmark. Simpan tautan resmi dari situs web proyek dan gunakan setiap kali. Lihat cara memverifikasi bahwa sebuah situs web adalah situs resmi proyek.
3. 3Baca domain di wallet Anda. Sebelum menyetujui koneksi, pastikan nama situs yang ditampilkan di wallet cocok dengan domain resmi.
4. 4Baca setiap permintaan tanda tangan. Jika Anda tidak tahu apa yang dilakukan sebuah permintaan, tolak.
5. 5Gunakan wallet terpisah untuk eksperimen. Simpan aset jangka panjang di wallet, idealnya hardware wallet, yang jarang terhubung ke situs baru.
6. 6Cabut persetujuan lama secara rutin. Panduan kami tentang cara mencabut persetujuan token menunjukkan caranya.

Yang Harus Dilakukan Jika Sudah Terjadi

Lalu ikuti panduan langkah demi langkah kami tentang apa yang harus segera dilakukan jika wallet Anda disusupi. Simpan URL situs, hash transaksi, dan tangkapan layar, lalu laporkan situs tersebut melalui formulir laporan penipuan kami agar orang lain bisa diperingatkan. Waspadai “layanan pemulihan” yang menghubungi Anda setelahnya; sering kali itu adalah penipuan kedua.

Kesimpulan

WalletConnect dan pop-up wallet adalah alat yang aman bila berasal dari wallet asli Anda dan aplikasi asli. Penipuannya ada pada jendela tiruan yang meminta frasa pemulihan Anda dan pada permintaan berbahaya yang menyamar sebagai langkah rutin. Tidak ada layanan sah yang membutuhkan kata-kata pemulihan Anda. Jika sebuah jendela memintanya, tutup jendela itu.