Risiko Alamat Vanity dan Alamat Tiruan yang Mirip

Alamat vanity, yaitu alamat wallet dengan pola pilihan seperti nama atau karakter berulang, membawa dua risiko utama: jika kunci privatnya dibuat oleh alat yang lemah atau tidak tepercaya, orang lain mungkin bisa membuatnya ulang dan mencuri dana, dan penipu memakai teknik yang sama untuk membuat alamat tiruan yang menipu Anda agar mengirim kripto kepada mereka. Kedua risiko ini bergantung pada cara alamat dibuat dan cara Anda memeriksanya.

Kebanyakan orang hanya melirik beberapa karakter pertama dan terakhir dari sebuah alamat. Penyerang tahu hal ini dan membangun penipuan mereka di atas kebiasaan tersebut. Memahami mekanismenya membantu Anda menghindari kedua jenis kerugian.

Cara Alamat Vanity Dibuat

Alamat kripto diturunkan dari kunci publik, yang berasal dari kunci privat. Anda tidak bisa memilih alamat secara langsung; Anda hanya bisa menghasilkan kunci secara acak dan memeriksa apakah alamat yang dihasilkan cocok dengan pola Anda.

1. 1Hasilkan kunci privat acak.
2. 2Turunkan kunci publik dan alamatnya.
3. 3Periksa apakah alamat diawali atau diakhiri dengan karakter pilihan Anda.
4. 4Jika tidak, ulangi, sering kali miliaran kali.

Setiap karakter tambahan yang ingin dicocokkan melipatgandakan pekerjaannya, itulah sebabnya pola pendek cepat ditemukan sedangkan pola panjang membutuhkan daya komputasi yang sangat besar. Keamanan alamat akhir sepenuhnya bergantung pada langkah 1: kunci privat harus berasal dari keacakan yang kuat. Kami membahasnya lebih rinci di Cara Mengenali Aplikasi Kripto Palsu di App Store.

Risiko 1: Generator Vanity yang Lemah

Jika sebuah generator mengambil jalan pintas dalam hal keacakan agar berjalan lebih cepat, kunci yang “acak” bisa berasal dari kumpulan kemungkinan yang jauh lebih kecil. Penyerang yang memahami jalan pintas itu dapat menelusuri kumpulan yang lebih kecil tersebut dan memulihkan kunci privat.

Ini bukan sekadar teori. Pada 2022, sebuah kerentanan diungkap secara publik pada Profanity, alat pembuat alamat vanity Ethereum yang populer, yang menunjukkan bahwa kuncinya dapat dibobol dengan brute force. Dana kemudian dikuras dari alamat yang dibuat dengan alat itu, termasuk pencurian yang banyak diberitakan dari perusahaan trading Wintermute yang dikaitkan dengan sebuah alamat vanity. Pelajarannya: alamat vanity hanya seaman kode yang membuatnya.

Risiko generator lainnya meliputi:

• Generator online yang membuat kunci di server, tempat operatornya bisa menyimpan salinan.
• Layanan “kunci terpisah” (split-key) yang diterapkan dengan keliru, sehingga penyedia dapat merekonstruksi kunci Anda.
• Alat yang tidak lagi dipelihara dengan bug yang sudah diketahui tetapi tidak pernah diperbaiki.

Risiko 2: Alamat Tiruan dan Address Poisoning

Penipu memakai pembuatan alamat ala vanity untuk tujuan lain: meniru bagian alamat Anda yang terlihat.

Begini cara kerja serangan address poisoning:

1. 1Penyerang memantau blockchain untuk mencari wallet aktif dan alamat yang sering mereka kirimi dana.
2. 2Penyerang membuat alamat tiruan yang cocok dengan beberapa karakter pertama dan terakhir dari salah satu alamat tersebut.
3. 3Penyerang mengirimi Anda transaksi bernilai nol, transaksi sangat kecil, atau transfer token palsu dari alamat tiruan itu, sehingga alamat tersebut muncul di riwayat transaksi Anda.
4. 4Kemudian, Anda menyalin alamat dari riwayat untuk melakukan pembayaran dan keliru memilih alamat tiruan.
5. 5Dana Anda masuk ke penyerang, dan transfer blockchain tidak dapat dibatalkan.

Panduan lengkap kami tentang serangan address poisoning membahas berbagai variasi penipuan ini.

Contoh Gabungan (Hipotetis)

Ini adalah contoh rekaan. Bayangkan “Leo” rutin mengirim stablecoin ke alamat deposit exchange-nya, yang diawali “0x7a3f” dan diakhiri “c91e”. Suatu hari, muncul transfer nol token di riwayat wallet-nya dari alamat yang juga diawali “0x7a3f” dan diakhiri “c91e”, tetapi memiliki karakter berbeda di bagian tengah. Seminggu kemudian, Leo membuka riwayatnya, menyalin alamat terbaru yang tampak cocok, memeriksa empat karakter pertama dan terakhir, lalu mengirim jumlah besar. Dana itu masuk ke penipu.

Daftar Periksa Tanda Bahaya

• Transfer bernilai nol atau transfer debu (dust) dari alamat tak dikenal di riwayat Anda.
• Token tak dikenal yang “dikirim” dari alamat yang mirip dengan alamat yang Anda gunakan.
• Alamat yang cocok di bagian ujung tetapi berbeda di bagian tengah.
• Situs web atau orang yang menawarkan untuk membuatkan alamat kustom “untuk Anda”.
• Alat vanity yang sumber tertutup, tidak dipelihara, atau diiklankan secara agresif.
• Tekanan untuk segera mengirim, tanpa waktu untuk transaksi uji.

Cara Melindungi Diri

Panduan kami tentang cara memverifikasi alamat wallet sebelum mengirim memberikan rutinitas langkah demi langkah. Beberapa wallet juga menyembunyikan atau menandai transfer bernilai nol; aktifkan filter tersebut jika tersedia.

Yang Harus Dilakukan Jika Sudah Terjadi

• Jika Anda mengirim dana ke alamat tiruan: umumnya Anda tidak bisa membatalkannya. Catat hash transaksi, laporkan alamat tersebut ke penyedia wallet Anda dan exchange yang terlibat, serta laporkan melalui halaman pelaporan penipuan kami. Jika dana sampai ke exchange, exchange tersebut mungkin bisa bertindak.
• Jika alamat vanity Anda dibuat dengan alat yang lemah: segera pindahkan dana ke wallet baru yang dibuat dengan perangkat lunak standar yang sudah ditinjau dengan baik, lalu cabut persetujuan token dari alamat lama.
• Jika Anda curiga kunci Anda telah bocor: ikuti panduan apa yang harus segera dilakukan jika wallet Anda dibobol.

Waspadalah terhadap siapa pun yang menghubungi Anda dan menjanjikan pemulihan dana dengan imbalan biaya; itu adalah penipuan lanjutan yang umum.

Kesimpulan

Alamat vanity hanya bersifat kosmetik, tetapi risiko di baliknya nyata: generator yang lemah dapat membocorkan kunci privat Anda, dan trik pencocokan pola yang sama memungkinkan penipu membuat alamat yang mirip dengan milik Anda. Buat kunci hanya dengan perangkat lunak tepercaya, salin alamat dari sumber terverifikasi, periksa seluruh rangkaian karakter, dan gunakan transaksi uji untuk jumlah besar.