Akun Media Sosial Proyek yang Diretas: Cara Menghindari Pengumuman Palsu
Saat akun Twitter kripto yang diretas memposting airdrop atau mint palsu, kerugian datang dengan cepat. Pelajari cara pengambilalihan terjadi, tanda bahaya, dan cara memverifikasi pengumuman.
Saat akun media sosial sebuah proyek kripto diretas, penyerang menggunakannya untuk memposting pengumuman palsu, biasanya airdrop, mint, atau migrasi token mendadak, yang mengarahkan pengikut ke situs web penguras dompet. Perlindungan terbaiknya sederhana: jangan pernah bertindak berdasarkan satu postingan saja; konfirmasikan setiap pengumuman yang melibatkan dompet Anda di setidaknya satu saluran resmi lain, seperti situs web atau dokumentasi proyek.
Serangan ini efektif karena meminjam kepercayaan yang nyata. Akunnya asli, lencananya asli, dan pengikutnya asli. Hanya postingannya yang palsu, dan penyerang tahu mereka hanya butuh jendela waktu singkat sebelum tim kembali menguasai akun.
Bagaimana Pengambilalihan Akun Terjadi
Penyerang jarang “meretas” platformnya sendiri. Mereka menargetkan orang dan layanan yang terhubung:
- Phishing terhadap anggota tim. Pesan palsu yang mengklaim adanya pelanggaran hak cipta, masalah verifikasi, atau tawaran kemitraan membuat staf login di halaman palsu.
- SIM swap. Jika akun mengandalkan kode SMS, penyerang yang mengambil alih nomor telepon dapat mengatur ulang kata sandi. Lihat panduan kami tentang serangan SIM swap.
- Alat pihak ketiga yang dibobol. Aplikasi penjadwalan atau analitik dengan izin posting bisa menjadi pintu belakang.
- Kata sandi lemah atau dipakai ulang. Kata sandi yang bocor dari situs lain dapat membuka akun tersebut.
- Orang dalam atau mantan kontraktor yang masih memegang akses setelah keluar.
Server Discord dan Telegram menghadapi risiko serupa melalui akun moderator yang dibobol atau bot berbahaya yang memposting di saluran pengumuman.
Bagaimana Penipuan Berlangsung, Langkah demi Langkah
- 1Pengambilalihan. Penyerang mendapatkan akses dan sering mengganti email serta nomor telepon pemulihan agar tim terkunci di luar.
- 2Persiapan. Mereka menyiapkan situs yang meyakinkan di domain tiruan, biasanya terhubung ke penguras dompet (wallet drainer).
- 3Postingan. Muncul pengumuman palsu: “Airdrop kejutan untuk para holder,” “Token kami sedang migrasi; tukar sekarang,” atau “Mint gratis terbatas, hanya 30 menit.”
- 4Amplifikasi. Balasan dibatasi untuk menghentikan peringatan, postingan mungkin disematkan, dan akun lain yang dibobol atau akun bot ikut membagikannya ulang.
- 5Pengurasan. Korban menghubungkan dompet dan menandatangani persetujuan atau transaksi yang menyerahkan aset mereka. Penjelasan kami tentang penguras dompet menunjukkan cara kerja kontrak-kontrak ini.
- 6Pembersihan. Tim mendapatkan kembali akses beberapa jam kemudian, menghapus postingan, dan memperingatkan pengguna, tetapi transaksi yang sudah ditandatangani tidak dapat dibatalkan.
Contoh Hipotetis
Skenario ini adalah gabungan untuk ilustrasi, bukan kasus nyata. Bayangkan sebuah proyek DeFi berukuran menengah dengan akun yang terkenal. Pada suatu Minggu malam, akun itu memposting: “Untuk merayakan hari jadi kami, semua holder dapat mengklaim bonus. Klaim ditutup dalam dua jam,” dengan tautan ke domain yang berbeda satu huruf dari domain resmi. Balasan dibatasi. Kami membahas ini lebih rinci dalam Cara Menemukan Akun Media Sosial Resmi Proyek Kripto.
Banyak pengikut mengklik. Situs tersebut meminta mereka menghubungkan dompet dan menandatangani permintaan “klaim”. Kenyataannya, tanda tangan itu memberi izin kepada penguras untuk memindahkan token mereka. Dua jam kemudian, saluran lain milik proyek memposting peringatan bahwa akun tersebut telah dibobol. Saat itu, kerusakan sudah terjadi. Lihat juga: Penjelasan Aplikasi Sosial Kripto dan Jaringan Bergaya Farcaster.
Petunjuknya: hadiah yang tidak diumumkan sebelumnya, tenggat waktu singkat, domain yang sedikit salah, balasan yang dibatasi, dan tidak ada postingan yang sama di situs web proyek. Bacaan terkait: Kursus Trading Kripto dan Guru Palsu.
Daftar Periksa Tanda Bahaya
| Sinyal | Mengapa penting |
|---|---|
| Airdrop, klaim, atau mint gratis mendadak | Umpan paling umum karena menjanjikan sesuatu tanpa imbalan |
| “Migrasi” atau “penukaran token” dengan tenggat waktu | Migrasi asli direncanakan dan diumumkan di semua saluran jauh-jauh hari |
| Domain tidak ditautkan dari situs web resmi | Penyerang mengandalkan domain tiruan |
| Balasan dinonaktifkan atau dibatasi | Mencegah komunitas memperingatkan orang lain |
| Diposting pada waktu yang tidak biasa bagi tim | Pengambilalihan sering terjadi saat staf sedang offline |
| Meminta Anda menghubungkan dompet dan menandatangani dengan cepat | Desakan mencegah pemeriksaan yang cermat |
| Nada atau gaya berbeda dari postingan biasa | Penyerang jarang bisa meniru gaya bahasa tim |
Cara Memverifikasi Pengumuman
- 1Periksa situs web resmi. Apakah halaman berita, blog, atau spanduk situs menyebutkannya? Ketik alamatnya sendiri; jangan ikuti tautan di postingan.
- 2Periksa saluran resmi lainnya. Lihat dokumentasi proyek, akun media sosial lainnya, atau forum resmi. Tim biasanya cepat memposting peringatan di sana saat sebuah akun dibobol.
- 3Bandingkan domainnya. Pastikan tautan cocok dengan domain yang tercantum di dokumentasi resmi, karakter demi karakter. Panduan kami tentang cara memverifikasi bahwa sebuah situs web adalah situs resmi proyek berisi metode langkah demi langkah.
- 4Tunggu. Klaim dan migrasi asli jarang mengharuskan tindakan dalam hitungan menit. Menunggu satu jam hanya merugikan sedikit; terburu-buru bisa merugikan segalanya.
- 5Cari pesan yang ditandatangani. Beberapa proyek menerbitkan pernyataan yang ditandatangani secara kriptografis. Baca cara memverifikasi pesan bertanda tangan dari sebuah proyek.
Cara Melindungi Diri dalam Jangka Panjang
- Tandai (bookmark) situs dan aplikasi resmi dan gunakan hanya bookmark tersebut.
- Gunakan dompet “burner” terpisah dengan saldo kecil untuk klaim dan mint.
- Aktifkan fitur simulasi transaksi atau clear-signing jika dompet Anda menyediakannya.
- Cabut persetujuan yang tidak digunakan secara rutin.
- Ikuti proyek di lebih dari satu saluran agar Anda bisa memeriksa silang dengan cepat.
Apa yang Harus Dilakukan Jika Anda Tertipu
- Hanya mengunjungi situs: tutup situs tersebut dan jangan mengunduh apa pun yang ditawarkannya.
- Menghubungkan dompet dan menandatangani: cabut persetujuan dan pindahkan aset ke dompet yang aman.
- Memasukkan frasa seed: buat dompet baru dan segera transfer dana yang tersisa.
Panduan kami tentang apa yang harus segera dilakukan jika dompet Anda dibobol membahas setiap langkahnya. Simpan postingan, tautan, dan hash transaksi, lalu laporkan situs palsu tersebut melalui formulir laporan penipuan kami. Untuk langkah selanjutnya dengan platform dan pihak berwenang, baca cara melaporkan penipuan kripto dan apa yang terjadi selanjutnya.
Kesimpulan
Akun Twitter kripto yang diretas terlihat persis seperti aslinya karena memang akun asli, yang untuk sementara berada di tangan yang salah. Perlakukan setiap postingan yang meminta Anda menghubungkan dompet sebagai belum terverifikasi sampai Anda mengonfirmasinya di situs web resmi atau saluran resmi lainnya. Pemeriksaan beberapa menit dapat menghentikan cara paling umum pengambilalihan ini berujung pada kerugian.
Pertanyaan umum
Bagaimana akun proyek kripto bisa diretas?
Jalur yang umum meliputi pesan phishing yang dikirim ke anggota tim, seperti pemberitahuan hak cipta atau verifikasi palsu, SIM swap yang membajak kode login berbasis ponsel, aplikasi pihak ketiga yang dibobol dan memiliki akses posting, kata sandi yang dipakai ulang, dan terkadang orang dalam. Setelah menguasai akun, penyerang memposting tautan palsu sementara tim yang asli terkunci di luar.
Bagaimana saya bisa tahu bahwa pengumuman sebuah proyek itu palsu?
Periksa apakah pengumuman yang sama muncul di situs web resmi, dokumentasi, blog, dan saluran lain milik proyek. Curigai airdrop mendadak, mint yang mendesak, migrasi token, dan tautan ke domain yang tidak dikenal, terutama jika balasan dinonaktifkan atau postingannya terasa sangat memaksa.
Apa yang harus saya lakukan jika sudah mengklik tautan dari akun yang diretas?
Jika Anda hanya mengunjungi situsnya, tutup situs tersebut dan hapus semua unduhan. Jika Anda menghubungkan dompet dan menandatangani sesuatu, cabut persetujuan dan pindahkan aset ke dompet yang aman. Jika Anda memasukkan frasa seed, anggap dompet itu sudah dibobol dan segera pindahkan dana ke dompet baru, lalu laporkan insidennya.
Apakah lencana terverifikasi dapat melindungi saya dari pengumuman palsu?
Tidak. Saat sebuah akun diretas, akun terverifikasi yang asli itulah yang memposting penipuan, sehingga lencana, jumlah pengikut, dan riwayatnya semua terlihat asli. Verifikasi hanya memberi tahu milik siapa akun tersebut, bukan apakah postingan saat ini dibuat oleh pemilik yang sah.