Wallet drainer: Cara persetujuan berbahaya mencuri kripto Anda

Wallet drainer adalah situs web atau skrip berbahaya yang menipu Anda agar menandatangani transaksi atau pesan yang memberi penyerang izin untuk memindahkan token dan NFT Anda, lalu menggunakan izin itu untuk menguras dompet Anda. Penyerang tidak pernah membutuhkan frasa pemulihan Anda; tanda tangan Anda sendirilah yang melakukan pekerjaannya.

Drainer berada di balik banyak kerugian yang dilaporkan setelah airdrop palsu, mint palsu, dan peretasan akun media sosial proyek. Drainer telah dijual sebagai kit siap pakai, kadang disebut “drainer-as-a-service”, sehingga penipu tanpa keahlian teknis pun bisa menggunakannya. Memahami apa yang Anda tandatangani adalah pertahanan terbaik.

Cara kerja persetujuan token (dan mengapa drainer menyukainya)

Di Ethereum dan jaringan EVM lainnya, aplikasi terdesentralisasi tidak bisa memindahkan token Anda sendiri. Anda terlebih dulu memberikan persetujuan: izin bagi kontrak tertentu untuk membelanjakan token tertentu atas nama Anda, hingga jumlah yang ditetapkan. DEX dan protokol pinjaman membutuhkannya agar bisa berfungsi.

Masalahnya, banyak aplikasi meminta persetujuan tanpa batas demi kemudahan, dan persetujuan tetap aktif sampai Anda mencabutnya. Drainer cukup meminta Anda menyetujui kontraknya, bukan kontrak yang sah. Begitu Anda menandatangani, penyerang bisa melakukan transfer kapan saja.

Untuk NFT, padanannya adalah setApprovalForAll, yang memungkinkan operator memindahkan setiap NFT yang Anda miliki dalam satu koleksi. Marketplace menggunakannya secara sah; drainer menggunakannya untuk mengambil seluruh koleksi sekaligus. Untuk pembahasan lebih dalam, lihat Penipuan kripto di Instagram dan TikTok.

Tanda tangan yang digunakan drainer

Tanda tangan tanpa gas sangat menyesatkan. Karena tidak dikenai biaya, orang mengira itu hanya “login” yang tidak berbahaya. Sebagian memang demikian. Sebagian lainnya adalah permit yang mengotorisasi pembelanjaan. Artikel kami tentang ice phishing dan tanda tangan permit menjelaskannya secara rinci.

Bagaimana serangan drainer biasanya berlangsung

1. 1Umpan. Sebuah tautan datang lewat pengumuman airdrop palsu, balasan pada postingan resmi, server Discord yang diretas, iklan pencarian bersponsor, atau pesan langsung yang menawarkan “dukungan”.
2. 2Situs yang meyakinkan. Halaman meniru desain proyek asli dan meminta Anda menghubungkan dompet.
3. 3Pemindaian aset. Skrip drainer memeriksa saldo Anda dan meminta persetujuan untuk aset paling berharga terlebih dulu.
4. 4Tanda tangan. Permintaan dikemas sebagai “klaim”, “verifikasi”, “mint”, atau “sinkronisasi”, disertai desakan seperti hitung mundur.
5. 5Pengurasan. Aset ditransfer keluar, sering kali dalam hitungan detik, lalu cepat ditukar atau dipindahkan lewat bridge agar sulit dilacak.

Mengapa drainer juga berhasil menipu pengguna berpengalaman

Drainer tidak mengandalkan situs yang jelas-jelas palsu. Banyak serangan dimulai dari akun proyek asli yang dibobol, sehingga pengumumannya tampak asli karena memang diposting dari akun yang asli. Ada juga yang muncul tepat saat airdrop atau mint sungguhan sedang ramai, ketika orang memang berharap menandatangani transaksi dan terburu-buru ingin jadi yang pertama. Bacaan terkait: Serangan SIM swap. Jika ingin mendalami lebih jauh, baca Penipuan migrasi token dan swap palsu.

Permintaan dompet juga terlihat mirip, baik saat Anda menyetujui DEX tepercaya maupun kontrak drainer. Bedanya ada di detail: alamat pembelanja, token, dan jumlahnya. Pengguna berpengalaman tertipu ketika kebiasaan mengambil alih dan mereka mengklik “konfirmasi” seperti yang sudah ratusan kali mereka lakukan. Kami membahasnya lebih rinci di Ekstensi browser berbahaya yang mencuri kripto. Bacaan terkait: Keamanan akun email bagi pengguna kripto.

Tanda peringatan sebelum Anda menandatangani

• Anda tiba lewat DM, balasan, iklan, atau tautan yang tidak Anda cari sendiri.
• Situs meminta persetujuan untuk token yang tidak ingin Anda perdagangkan.
• Jumlah persetujuan tidak terbatas, atau alamat pembelanja tidak dikenal.
• Anda diminta menandatangani pesan yang tidak bisa dibaca, atau dompet memperingatkan soal blind signing.
• Ada tekanan: “klaim berakhir dalam 10 menit”, “dompet Anda akan ditangguhkan”.
• Domainnya sedikit berbeda, baru didaftarkan, atau memakai ekstensi yang tidak lazim. Lihat situs phishing kripto.

Cara melindungi diri

1. 1Gunakan dompet burner untuk mint baru, airdrop, dan aplikasi yang belum dikenal, dan simpan di sana hanya yang Anda butuhkan. Simpan aset jangka panjang di dompet terpisah yang jarang terhubung ke mana pun. Panduan kami tentang dompet burner menjelaskan cara menyiapkannya.
2. 2Baca setiap permintaan. Periksa tindakan, token, jumlah, dan pihak pembelanja sebelum menandatangani. Jika tidak paham, tolak.
3. 3Utamakan persetujuan terbatas jika dompet Anda memungkinkan Anda menetapkan jumlah sendiri.
4. 4Aktifkan pratinjau transaksi atau fitur simulasi di dompet Anda jika tersedia; fitur ini menunjukkan apa yang akan keluar dari dompet Anda.
5. 5Cabut secara rutin. Tinjau dan hapus persetujuan lama. Panduan langkah demi langkah kami tentang cara mencabut persetujuan token menunjukkan caranya.
6. 6Buka situs secara langsung. Ketik URL yang Anda kenal atau gunakan bookmark tersimpan alih-alih mengklik tautan.

Jika Anda merasa dompet Anda telah dikuras

Bertindaklah cepat, karena penyerang sering kembali untuk aset yang tersisa:

• Cabut semua persetujuan yang tidak Anda kenali.
• Pindahkan dana yang tersisa ke dompet yang benar-benar baru dengan frasa pemulihan baru, terutama jika Anda pernah memasukkan frasa pemulihan di mana pun.
• Catat hash transaksi, alamat penyerang, dan URL situs.
• Laporkan situs dan alamatnya, misalnya melalui formulir laporan penipuan kami, serta ke platform tempat Anda menemukan tautan itu.
• Abaikan siapa pun yang menawarkan pemulihan dana dengan imbalan biaya; penipuan pemulihan dana menyasar korban baru.

Lihat juga daftar periksa kami tentang apa yang harus segera dilakukan jika dompet Anda dibobol.

Kesimpulan

Wallet drainer tidak membobol kriptografi dompet Anda; mereka membuat Anda sendiri mengotorisasi pencurian. Perlakukan setiap tanda tangan sebagai kemungkinan penyerahan kendali, simpan aset berharga di dompet yang tidak pernah menyentuh situs tak dikenal, dan bersihkan persetujuan secara rutin. Berhenti sejenak selama tiga puluh detik sebelum menandatangani adalah alat keamanan paling efektif yang Anda miliki.