Serangan sosial menargetkan pengguna Aset Kripto, kerugian lebih dari seratus juta dolar
Dalam beberapa tahun terakhir, serangan rekayasa sosial di bidang aset kripto telah menjadi ancaman besar bagi keamanan dana pengguna. Sejak tahun 2025, insiden penipuan rekayasa sosial yang menargetkan pengguna salah satu platform perdagangan terkenal sering terjadi, menarik perhatian luas di industri. Dari diskusi komunitas, terlihat bahwa kejadian semacam ini bukanlah kasus terpisah, melainkan merupakan jenis penipuan yang terorganisir dan berkelanjutan.
Pada 15 Mei, platform tersebut mengumumkan konfirmasi terhadap spekulasi sebelumnya mengenai kebocoran data internal. Departemen Kehakiman AS telah memulai penyelidikan atas kejadian ini. Artikel ini akan mengungkapkan metode utama penipuan berdasarkan informasi yang diberikan oleh beberapa peneliti keamanan dan korban, serta membahas strategi penanganan dari sudut pandang platform dan pengguna.
Analisis Sejarah
Detektif on-chain Zach dalam pembaruan pada 7 Mei menyatakan bahwa dalam seminggu terakhir, lebih dari 45 juta dolar AS telah dicuri dari pengguna platform tersebut akibat penipuan rekayasa sosial. Selama setahun terakhir, Zach telah beberapa kali mengungkapkan insiden pencurian terkait, dengan beberapa korban kehilangan hingga puluhan juta dolar AS.
Zach pada Februari 2025 menunjukkan bahwa kerugian dana akibat penipuan semacam itu telah melebihi 65 juta USD hanya antara Desember 2024 hingga Januari 2025. Dia mencatat bahwa serangan semacam itu merugikan keamanan aset pengguna dengan skala rata-rata 300 juta USD per tahun. Geng yang mendominasi penipuan ini terutama dibagi menjadi dua kategori: satu adalah penyerang tingkat rendah dari suatu lingkaran, dan yang lainnya adalah organisasi kejahatan siber yang berlokasi di India.
Kelompok penipuan terutama menargetkan pengguna di Amerika Serikat, dengan metode operasi yang distandarisasi dan proses percakapan yang matang. Jumlah kerugian yang sebenarnya mungkin jauh lebih tinggi daripada statistik yang terlihat di blockchain, karena tidak mencakup informasi yang tidak dipublikasikan seperti tiket layanan pelanggan yang tidak dapat diakses dan catatan laporan polisi.
Metode Penipuan
Dalam peristiwa ini, sistem teknologi platform tidak diretas. Penipu memanfaatkan hak akses karyawan internal untuk mendapatkan sebagian informasi sensitif pengguna, termasuk nama, alamat, kontak, data akun, foto KTP, dan lainnya. Tujuan akhir penipu adalah untuk menggunakan teknik rekayasa sosial untuk mendorong pengguna melakukan transfer.
Serangan semacam ini mengubah metode phishing tradisional "jaring" menjadi "serangan terarah", yang bisa disebut sebagai penipuan sosial yang "disesuaikan secara khusus". Jalur tindakan yang khas adalah sebagai berikut:
Menghubungi pengguna sebagai "layanan pelanggan resmi"
Mengarahkan pengguna untuk mengunduh dompet resmi
Menggoda pengguna untuk menggunakan frasa pemulihan yang diberikan oleh penipu
Penipu melakukan pencurian dana
Penipu menggunakan sistem telepon palsu untuk menyamar sebagai layanan pelanggan, mengklaim bahwa "akun pengguna mengalami login ilegal" atau "deteksi penarikan yang tidak biasa", menciptakan suasana mendesak. Mereka kemudian mengirimkan email atau pesan teks phishing yang realistis, yang berisi nomor tiket palsu atau tautan "proses pemulihan". Tautan-tautan ini mungkin mengarah ke antarmuka platform yang dikloning, bahkan dapat mengirim email yang tampaknya berasal dari nama domain resmi.
Penipu akan mengarahkan pengguna untuk memindahkan dana ke "dompet aman" dengan alasan "melindungi aset", membantu menginstal dompet resmi dan memindahkan aset yang dikelola ke dompet yang baru dibuat. Berbeda dengan "penipuan kata sandi pemulihan" tradisional, penipu langsung memberikan satu set kata sandi pemulihan yang mereka hasilkan sendiri, menggoda pengguna untuk menggunakannya sebagai "dompet baru resmi".
Korban dalam keadaan tegang, cemas, dan mempercayai "layanan pelanggan", sangat mudah terjebak. Begitu dana ditransfer ke dompet baru ini, penipu dapat segera memindahkannya.
Menurut @NanoBaiter, serangan-serangan ini seringkali direncanakan dan dilaksanakan secara terorganisir:
Rangkaian alat penipuan yang sempurna: menggunakan sistem PBX untuk memalsukan nomor panggilan masuk, dengan bantuan bot Telegram meniru email resmi.
Target yang tepat: Mengandalkan data pengguna yang dicuri untuk mengidentifikasi target, bahkan dengan bantuan AI untuk memproses data.
Proses penipuan yang koheren: dari telepon, pesan singkat hingga email, jalur penipuan terhubung tanpa celah.
Analisis di Blockchain
Melakukan analisis terhadap alamat beberapa penipu, ditemukan bahwa para penipu ini memiliki kemampuan operasi on-chain yang cukup kuat:
Target serangan mencakup berbagai aset, dengan waktu aktif terkonsentrasi dari Desember 2024 hingga Mei 2025.
Aset target utama adalah BTC dan ETH, dengan keuntungan per transaksi mencapai jutaan dolar.
Setelah mendapatkan dana, segera gunakan serangkaian proses pencucian untuk melakukan pertukaran dan pemindahan.
Aset yang mirip ETH sering ditukar dengan cepat menjadi Aset Kripto stabil melalui DEX, kemudian dipindahkan secara terdesentralisasi.
BTC kemudian terutama ditransfer ke Ethereum melalui jembatan lintas rantai, kemudian ditukar menjadi Aset Kripto stabil.
Beberapa alamat penipuan tetap dalam status "diam" setelah menerima aset kripto stabil.
Disarankan kepada pengguna untuk menggunakan sistem pemantauan dan pelacakan anti pencucian uang di blockchain untuk melakukan deteksi risiko pada alamat target sebelum melakukan transaksi, guna menghindari potensi ancaman.
Tindakan Penanganan
platform
Disarankan agar platform mengintegrasikan edukasi pengguna, pelatihan keamanan, dan desain kegunaan, membangun garis pertahanan keamanan yang "berfokus pada manusia":
Mengirimkan konten pendidikan anti-penipuan secara berkala
Mengoptimalkan model pengendalian risiko, memperkenalkan "pengenalan perilaku anomali interaktif"
Menstandarkan saluran layanan pelanggan dan mekanisme verifikasi
Aktifkan daftar putih transfer dan mekanisme pendinginan penarikan
Terus memantau informasi keamanan
Perhatikan risiko offline dan perlindungan privasi
Tetap skeptis, terus memverifikasi. Saat melibatkan tindakan darurat, pastikan untuk meminta pihak lain membuktikan identitasnya, dan memverifikasi secara independen melalui saluran resmi, untuk menghindari membuat keputusan yang tidak dapat diubah di bawah tekanan.
Ringkasan
Kejadian ini sekali lagi mengungkapkan kekurangan industri dalam perlindungan data pelanggan dan aset. Platform harus secara sistematis membangun "sistem pertahanan sosial" yang mencakup personel internal dan layanan outsourcing, serta memasukkan risiko manusia ke dalam strategi keamanan keseluruhan.
Setelah menemukan ancaman yang terorganisir dan berskala besar, platform harus segera merespons, secara proaktif memeriksa kerentanan, mengingatkan pengguna untuk mencegah, dan mengendalikan ruang lingkup kerusakan. Hanya dengan menghadapi secara ganda di tingkat teknis dan organisasi, kepercayaan dan batasan dapat dijaga dalam lingkungan keamanan yang kompleks.
Halaman ini mungkin berisi konten pihak ketiga, yang disediakan untuk tujuan informasi saja (bukan pernyataan/jaminan) dan tidak boleh dianggap sebagai dukungan terhadap pandangannya oleh Gate, atau sebagai nasihat keuangan atau profesional. Lihat Penafian untuk detailnya.
9 Suka
Hadiah
9
6
Bagikan
Komentar
0/400
MEVHunterNoLoss
· 07-29 22:47
怪不得我 pesanan terbuka 秒消失...jebakan!
Lihat AsliBalas0
fomo_fighter
· 07-29 09:50
Tahun 2025? Disarankan untuk memperbaiki waktu terlebih dahulu.
Lihat AsliBalas0
LiquidationSurvivor
· 07-29 02:52
Bahkan telepon ibu pun tidak bisa dipercaya lagi.
Lihat AsliBalas0
faded_wojak.eth
· 07-29 02:48
Hati-hati dalam melakukan apapun ya
Lihat AsliBalas0
OffchainOracle
· 07-29 02:46
Hehe, masih ada orang yang percaya pada layanan pelanggan?
Lihat AsliBalas0
UnluckyLemur
· 07-29 02:45
Siapa yang bisa tahan ini, adik-adik harus lebih waspada.
Penipuan melalui rekayasa sosial melanda platform enkripsi dengan kerugian tahunan mencapai 300 juta dolar AS
Serangan sosial menargetkan pengguna Aset Kripto, kerugian lebih dari seratus juta dolar
Dalam beberapa tahun terakhir, serangan rekayasa sosial di bidang aset kripto telah menjadi ancaman besar bagi keamanan dana pengguna. Sejak tahun 2025, insiden penipuan rekayasa sosial yang menargetkan pengguna salah satu platform perdagangan terkenal sering terjadi, menarik perhatian luas di industri. Dari diskusi komunitas, terlihat bahwa kejadian semacam ini bukanlah kasus terpisah, melainkan merupakan jenis penipuan yang terorganisir dan berkelanjutan.
Pada 15 Mei, platform tersebut mengumumkan konfirmasi terhadap spekulasi sebelumnya mengenai kebocoran data internal. Departemen Kehakiman AS telah memulai penyelidikan atas kejadian ini. Artikel ini akan mengungkapkan metode utama penipuan berdasarkan informasi yang diberikan oleh beberapa peneliti keamanan dan korban, serta membahas strategi penanganan dari sudut pandang platform dan pengguna.
Analisis Sejarah
Detektif on-chain Zach dalam pembaruan pada 7 Mei menyatakan bahwa dalam seminggu terakhir, lebih dari 45 juta dolar AS telah dicuri dari pengguna platform tersebut akibat penipuan rekayasa sosial. Selama setahun terakhir, Zach telah beberapa kali mengungkapkan insiden pencurian terkait, dengan beberapa korban kehilangan hingga puluhan juta dolar AS.
Zach pada Februari 2025 menunjukkan bahwa kerugian dana akibat penipuan semacam itu telah melebihi 65 juta USD hanya antara Desember 2024 hingga Januari 2025. Dia mencatat bahwa serangan semacam itu merugikan keamanan aset pengguna dengan skala rata-rata 300 juta USD per tahun. Geng yang mendominasi penipuan ini terutama dibagi menjadi dua kategori: satu adalah penyerang tingkat rendah dari suatu lingkaran, dan yang lainnya adalah organisasi kejahatan siber yang berlokasi di India.
Kelompok penipuan terutama menargetkan pengguna di Amerika Serikat, dengan metode operasi yang distandarisasi dan proses percakapan yang matang. Jumlah kerugian yang sebenarnya mungkin jauh lebih tinggi daripada statistik yang terlihat di blockchain, karena tidak mencakup informasi yang tidak dipublikasikan seperti tiket layanan pelanggan yang tidak dapat diakses dan catatan laporan polisi.
Metode Penipuan
Dalam peristiwa ini, sistem teknologi platform tidak diretas. Penipu memanfaatkan hak akses karyawan internal untuk mendapatkan sebagian informasi sensitif pengguna, termasuk nama, alamat, kontak, data akun, foto KTP, dan lainnya. Tujuan akhir penipu adalah untuk menggunakan teknik rekayasa sosial untuk mendorong pengguna melakukan transfer.
Serangan semacam ini mengubah metode phishing tradisional "jaring" menjadi "serangan terarah", yang bisa disebut sebagai penipuan sosial yang "disesuaikan secara khusus". Jalur tindakan yang khas adalah sebagai berikut:
Penipu menggunakan sistem telepon palsu untuk menyamar sebagai layanan pelanggan, mengklaim bahwa "akun pengguna mengalami login ilegal" atau "deteksi penarikan yang tidak biasa", menciptakan suasana mendesak. Mereka kemudian mengirimkan email atau pesan teks phishing yang realistis, yang berisi nomor tiket palsu atau tautan "proses pemulihan". Tautan-tautan ini mungkin mengarah ke antarmuka platform yang dikloning, bahkan dapat mengirim email yang tampaknya berasal dari nama domain resmi.
Penipu akan mengarahkan pengguna untuk memindahkan dana ke "dompet aman" dengan alasan "melindungi aset", membantu menginstal dompet resmi dan memindahkan aset yang dikelola ke dompet yang baru dibuat. Berbeda dengan "penipuan kata sandi pemulihan" tradisional, penipu langsung memberikan satu set kata sandi pemulihan yang mereka hasilkan sendiri, menggoda pengguna untuk menggunakannya sebagai "dompet baru resmi".
Korban dalam keadaan tegang, cemas, dan mempercayai "layanan pelanggan", sangat mudah terjebak. Begitu dana ditransfer ke dompet baru ini, penipu dapat segera memindahkannya.
Menurut @NanoBaiter, serangan-serangan ini seringkali direncanakan dan dilaksanakan secara terorganisir:
Analisis di Blockchain
Melakukan analisis terhadap alamat beberapa penipu, ditemukan bahwa para penipu ini memiliki kemampuan operasi on-chain yang cukup kuat:
Disarankan kepada pengguna untuk menggunakan sistem pemantauan dan pelacakan anti pencucian uang di blockchain untuk melakukan deteksi risiko pada alamat target sebelum melakukan transaksi, guna menghindari potensi ancaman.
Tindakan Penanganan
platform
Disarankan agar platform mengintegrasikan edukasi pengguna, pelatihan keamanan, dan desain kegunaan, membangun garis pertahanan keamanan yang "berfokus pada manusia":
! Layanan Pelanggan di Hutan Gelap: Ketika Penipuan Pekerja Sosial Menargetkan Pengguna Coinbase
pengguna
Tetap skeptis, terus memverifikasi. Saat melibatkan tindakan darurat, pastikan untuk meminta pihak lain membuktikan identitasnya, dan memverifikasi secara independen melalui saluran resmi, untuk menghindari membuat keputusan yang tidak dapat diubah di bawah tekanan.
Ringkasan
Kejadian ini sekali lagi mengungkapkan kekurangan industri dalam perlindungan data pelanggan dan aset. Platform harus secara sistematis membangun "sistem pertahanan sosial" yang mencakup personel internal dan layanan outsourcing, serta memasukkan risiko manusia ke dalam strategi keamanan keseluruhan.
Setelah menemukan ancaman yang terorganisir dan berskala besar, platform harus segera merespons, secara proaktif memeriksa kerentanan, mengingatkan pengguna untuk mencegah, dan mengendalikan ruang lingkup kerusakan. Hanya dengan menghadapi secara ganda di tingkat teknis dan organisasi, kepercayaan dan batasan dapat dijaga dalam lingkungan keamanan yang kompleks.