Serangan rekayasa sosial menjadi ancaman besar bagi keamanan aset enkripsi

Dalam beberapa tahun terakhir, serangan rekayasa sosial di bidang enkripsi aset semakin marak, menjadi ancaman besar bagi keamanan aset pengguna. Sejak 2025, insiden penipuan rekayasa sosial yang menargetkan pengguna platform perdagangan tertentu sering terjadi, memicu perhatian luas di industri. Dari diskusi komunitas, terlihat bahwa insiden semacam ini bukanlah kasus yang terisolasi, melainkan jenis penipuan yang terorganisir dan berkelanjutan.

Pada 15 Mei, sebuah platform perdagangan mengeluarkan pengumuman yang mengonfirmasi dugaan sebelumnya tentang adanya "pengkhianat" di dalam platform. Diketahui bahwa Departemen Kehakiman AS telah memulai penyelidikan terhadap insiden kebocoran data ini.

Artikel ini akan mengungkapkan metode utama penipuan dengan mengatur informasi yang diberikan oleh beberapa peneliti keamanan dan korban, serta membahas strategi respons yang efektif dari dua sudut pandang, yaitu platform dan pengguna.

Tinjauan Sejarah

Detektif on-chain Zach dalam pembaruannya pada 7 Mei menunjukkan: "Hanya dalam satu minggu terakhir, lebih dari 45 juta dolar AS telah dicuri dari pengguna suatu platform perdagangan karena penipuan rekayasa sosial."

Dalam setahun terakhir, Zach telah beberapa kali mengungkapkan insiden pencurian pengguna di platform tersebut, di mana beberapa korban mengalami kerugian mencapai puluhan juta dolar. Dalam penyelidikan mendalamnya pada Februari 2025, dia menyatakan bahwa hanya antara Desember 2024 hingga Januari 2025, total kerugian dana akibat penipuan semacam itu telah melebihi 65 juta dolar. Platform tersebut menghadapi krisis "penipuan rekayasa sosial" yang serius, di mana serangan semacam ini terus mengganggu keamanan aset pengguna dengan skala tahunan mencapai 300 juta dolar.

Zach juga menunjukkan:

• Kelompok yang mendominasi jenis penipuan ini terutama dibagi menjadi dua kategori: satu adalah pelaku serangan tingkat rendah dari komunitas Com, dan yang lainnya adalah organisasi kejahatan siber yang berbasis di India;
• Kelompok penipu terutama menargetkan pengguna di Amerika, dengan metode kejahatan yang distandarisasi dan proses ucapan yang matang;
• Jumlah kerugian nyata mungkin jauh lebih tinggi daripada statistik yang terlihat di blockchain, karena tidak mencakup informasi yang tidak dipublikasikan seperti tiket layanan pelanggan dan laporan polisi yang tidak dapat diakses.

Metode Penipuan

Dalam peristiwa ini, sistem teknologi platform tidak diretas, penipu memanfaatkan hak akses karyawan internal untuk mendapatkan sebagian informasi sensitif pengguna. Informasi ini termasuk: nama, alamat, kontak, data akun, foto identitas, dan lain-lain. Tujuan akhir penipu adalah menggunakan teknik rekayasa sosial untuk mengarahkan pengguna melakukan transfer.

Metode serangan ini mengubah cara tradisional "memancing jaring" menjadi "serangan yang tepat", yang bisa disebut sebagai penipuan social engineering "yang disesuaikan khusus". Jalur kejahatan yang khas adalah sebagai berikut:

1. Menghubungi pengguna dengan identitas "layanan pelanggan resmi"

Penipu menggunakan sistem telepon palsu untuk menyamar sebagai layanan pelanggan platform, mengklaim bahwa "akun pengguna mengalami login ilegal" atau "terdeteksi aktivitas penarikan yang mencurigakan", menciptakan suasana darurat. Kemudian mengirimkan email atau pesan teks phishing yang tampak nyata, berisi nomor tiket palsu atau tautan "proses pemulihan", yang mengarahkan pengguna untuk bertindak. Tautan ini mungkin mengarah ke antarmuka platform yang dikloning, bahkan dapat mengirim email yang tampaknya berasal dari nama domain resmi, beberapa email menggunakan teknologi pengalihan untuk melewati perlindungan keamanan.

2. Panduan pengguna untuk mengunduh dompet yang dikelola sendiri

Penipu menggunakan alasan "melindungi aset" untuk mengarahkan pengguna memindahkan dana ke "dompet aman", membantu pengguna menginstal dompet yang dikelola sendiri, dan mengarahkan mereka untuk memindahkan aset yang awalnya dikelola di platform ke dompet yang baru dibuat.

3. Mengarahkan pengguna untuk menggunakan frase pemulihan yang disediakan oleh penipu

Berbeda dengan "penipuan pencurian frase pemulihan" tradisional, penipu langsung memberikan satu set frase pemulihan yang mereka buat sendiri, mengarahkan pengguna untuk menggunakannya sebagai "dompet baru resmi".

4. Penipu melakukan pencurian dana

Korban dalam keadaan tegang, cemas, dan mempercayai "layanan pelanggan", sangat mudah terjebak. Bagi mereka, dompet baru yang "disediakan resmi" tentu saja lebih aman dibandingkan dengan dompet lama yang "diduga telah diretas". Akibatnya, begitu dana dipindahkan ke dompet baru ini, penipu dapat segera mengalirkannya keluar. Konsep "Not your keys, not your coins" sekali lagi dibuktikan dengan tragis.

Selain itu, beberapa email phishing mengklaim "karena putusan gugatan class, platform akan sepenuhnya bermigrasi ke dompet yang dikelola sendiri", dan meminta pengguna untuk menyelesaikan migrasi aset dalam batas waktu. Pengguna yang berada di bawah tekanan waktu yang mendesak dan sugesti psikologis dari "instruksi resmi" lebih cenderung untuk mengikuti operasi.

Menurut peneliti keamanan, serangan-serangan ini sering direncanakan dan dilaksanakan secara terorganisir:

• Rangkaian alat penipuan yang sempurna: Penipu menggunakan sistem PBX untuk memalsukan nomor telepon yang masuk, mensimulasikan panggilan dari layanan pelanggan resmi. Saat mengirim email phishing, mereka akan menggunakan alat sosial untuk meniru email resmi, disertai dengan "panduan pemulihan akun" yang mengarahkan untuk mentransfer.
• Sasaran tepat: Penipu bergantung pada data pengguna yang dicuri yang dibeli dari saluran ilegal, menargetkan kelompok pengguna tertentu sebagai sasaran utama, bahkan mereka juga akan memanfaatkan AI untuk memproses data yang dicuri, membagi dan menyusun ulang nomor telepon, menghasilkan file secara massal, lalu mengirimkan penipuan SMS melalui perangkat lunak peretasan.
• Proses penipuan yang terkoordinasi: dari telepon, pesan teks hingga email, jalur penipuan biasanya terhubung tanpa hambatan, istilah phishing yang umum termasuk "akun menerima permintaan penarikan", "kata sandi telah direset", "akun menunjukkan login yang tidak biasa", dan terus mendorong korban untuk melakukan "verifikasi keamanan", sampai penyelesaian transfer dompet.

Analisis On-chain

Menggunakan sistem anti pencucian uang dan pelacakan di blockchain untuk menganalisis beberapa alamat penipu, ditemukan bahwa para penipu ini memiliki kemampuan operasional di blockchain yang kuat, berikut adalah beberapa informasi kunci:

Target serangan penipu mencakup berbagai aset yang dimiliki pengguna, dengan waktu aktif alamat-alamat ini terkonsentrasi antara Desember 2024 hingga Mei 2025, dengan aset target utama adalah BTC dan ETH. BTC adalah target penipuan yang paling utama saat ini, dengan beberapa alamat memperoleh keuntungan sekaligus hingga ratusan BTC, dengan nilai per transaksi mencapai jutaan dolar.

Setelah mendapatkan dana, penipu dengan cepat menggunakan serangkaian proses pencucian untuk menukarkan dan memindahkan aset, dengan pola utama sebagai berikut:

• Aset jenis ETH sering kali ditukar dengan cepat menjadi DAI atau USDT melalui DEX tertentu, kemudian dipindahkan secara terdistribusi ke beberapa alamat baru, sebagian aset masuk ke platform perdagangan terpusat;
• BTC kemudian ditransfer ke Ethereum melalui jembatan lintas rantai, lalu ditukar menjadi DAI atau USDT, untuk menghindari risiko pelacakan.

Beberapa alamat penipuan tetap dalam keadaan "diam" setelah menerima DAI atau USDT, dan belum dipindahkan.

Untuk menghindari interaksi antara alamat Anda dan alamat yang mencurigakan, sehingga menghadapi risiko aset dibekukan, disarankan agar pengguna melakukan deteksi risiko pada alamat target menggunakan sistem anti pencucian uang dan pelacakan on-chain sebelum melakukan transaksi, untuk secara efektif menghindari ancaman yang potensial.

Tindakan yang Ditempuh

platform

Saat ini, metode keamanan arus utama lebih merupakan perlindungan "tingkat teknologi", sementara penipuan social engineering sering kali menghindari mekanisme ini, langsung menyerang kelemahan psikologis dan perilaku pengguna. Oleh karena itu, disarankan agar platform mengintegrasikan pendidikan pengguna, pelatihan keamanan, dan desain yang dapat digunakan, untuk membangun satu set "garis pertahanan yang berorientasi pada manusia".

• Pengiriman konten edukasi anti-penipuan secara berkala: Meningkatkan kemampuan pengguna untuk melawan phishing melalui pop-up aplikasi, antarmuka konfirmasi transaksi, email, dan saluran lainnya;
• Mengoptimalkan model manajemen risiko, memperkenalkan "pengenalan perilaku anomali interaktif": Sebagian besar penipuan rekayasa sosial akan menggoda pengguna untuk menyelesaikan serangkaian tindakan dalam waktu singkat (seperti transfer, perubahan daftar putih, pengikatan perangkat, dll.). Platform harus mengidentifikasi kombinasi interaksi mencurigakan berdasarkan model rantai perilaku (seperti "interaksi sering + alamat baru + penarikan besar"), memicu periode tenang atau mekanisme tinjauan manual.
• Memperbaiki saluran layanan pelanggan dan mekanisme verifikasi: Penipu sering menyamar sebagai layanan pelanggan untuk membingungkan pengguna, platform harus menyatukan telepon, SMS, dan template email, serta menyediakan "masuk verifikasi layanan pelanggan", untuk memperjelas saluran komunikasi resmi yang unik dan menghindari kebingungan.

pengguna

• Terapkan strategi isolasi identitas: hindari penggunaan email dan nomor ponsel yang sama di beberapa platform, untuk mengurangi risiko terkait, Anda dapat menggunakan alat pemeriksaan kebocoran untuk secara berkala memeriksa apakah email telah bocor.
• Mengaktifkan daftar putih transfer dan mekanisme pendinginan penarikan: menetapkan alamat tepercaya, mengurangi risiko kehilangan dana dalam situasi darurat.
• Terus memperhatikan informasi keamanan: Melalui perusahaan keamanan, media, platform perdagangan, dan saluran lainnya, ketahui dinamika terbaru metode serangan, dan tetap waspada. Saat ini, beberapa lembaga keamanan sedang meluncurkan platform simulasi phishing Web3 yang akan mensimulasikan berbagai metode phishing yang khas, termasuk poisoning social engineering, phishing tanda tangan, interaksi kontrak jahat, dan menggabungkan kasus nyata, terus memperbarui konten skenario. Membantu pengguna meningkatkan kemampuan identifikasi dan respons mereka dalam lingkungan tanpa risiko.
• Perhatikan risiko offline dan perlindungan privasi: Kebocoran informasi pribadi juga dapat memicu masalah keamanan pribadi.

Ini bukanlah kekhawatiran yang berlebihan, sejak awal tahun ini, para pelaku/ pengguna enkripsi telah mengalami beberapa kejadian yang mengancam keselamatan pribadi. Mengingat data yang bocor kali ini mencakup nama, alamat, informasi kontak, data akun, foto KTP, dan lain-lain, pengguna yang bersangkutan juga perlu meningkatkan kewaspadaan di dunia nyata dan memperhatikan keamanan.

Secara keseluruhan, tetap skeptis dan terus memverifikasi. Untuk setiap tindakan darurat, pastikan untuk meminta pihak lain membuktikan identitas mereka dan memverifikasi secara independen melalui saluran resmi, hindari membuat keputusan yang tidak dapat diubah di bawah tekanan.

Ringkasan

Kejadian ini sekali lagi mengungkapkan bahwa dalam menghadapi metode serangan rekayasa sosial yang semakin matang, industri masih memiliki kekurangan yang jelas dalam perlindungan data pelanggan dan keamanan aset. Yang perlu diwaspadai adalah, meskipun posisi terkait di platform tidak memiliki akses dana, kurangnya kesadaran dan kemampuan keamanan yang cukup juga dapat menyebabkan konsekuensi serius akibat kebocoran yang tidak disengaja atau dipengaruhi. Seiring dengan semakin besarnya ukuran platform, kompleksitas pengendalian keamanan personel juga meningkat, menjadikannya salah satu risiko yang paling sulit diatasi dalam industri. Oleh karena itu, platform harus secara sistematis membangun "sistem pertahanan rekayasa sosial" yang mencakup personel internal dan layanan outsourcing, serta memasukkan risiko manusia ke dalam strategi keamanan keseluruhan.

Selain itu, begitu serangan ditemukan bukanlah kejadian yang terisolasi, melainkan ancaman berkelanjutan yang terorganisir dan berskala, platform harus segera merespons, secara proaktif memeriksa potensi kerentanan, mengingatkan pengguna untuk waspada, dan mengendalikan cakupan kerusakan. Hanya dengan respons ganda di tingkat teknis dan organisasi, kepercayaan dan batasan dapat benar-benar dipertahankan dalam lingkungan keamanan yang semakin kompleks.