Pengguna Crypto Kehilangan $50 Juta dalam Skema 'Pemalsuan Alamat'

Seorang pengguna kripto kehilangan $50 juta dalam USDT setelah menjadi korban penipuan keracunan alamat dalam eksploitasi onchain besar-besaran.

Pencurian yang terdeteksi oleh perusahaan keamanan Web3 Web3 Antivirus, terjadi setelah pengguna mengirimkan transaksi uji sebesar $50 untuk mengonfirmasi alamat tujuan sebelum mentransfer sisa dana.

Dalam hitungan menit, seorang penipu membuat alamat dompet yang sangat mirip dengan tujuan, dengan mencocokkan karakter pertama dan terakhir, menyadari bahwa sebagian besar dompet mempersingkat alamat dan hanya menampilkan awalan serta akhiran.

Penipu kemudian mengirimkan jumlah “debu” kecil kepada korban untuk meracuni riwayat transaksi mereka. Diduga percaya bahwa alamat tujuan adalah sah dan telah dimasukkan dengan benar, korban menyalin alamat tersebut dari riwayat transaksi mereka dan akhirnya mengirimkan $49.999.950 USDT ke alamat penipu.

Transaksi debu kecil ini sering dikirim ke alamat dengan kepemilikan besar, meracuni riwayat transaksi dalam upaya menangkap kesalahan salin-tempel pengguna, seperti yang satu ini. Bot yang melakukan transaksi ini menjaring luas, berharap berhasil, yang mereka capai dalam kasus ini.

Data blockchain menunjukkan bahwa dana yang dicuri kemudian ditukar dengan ether ETH$2.977,38 dan dipindahkan ke berbagai dompet. Beberapa alamat yang terlibat sejak itu telah berinteraksi dengan Tornado Cash, sebuah mixer kripto yang dikenai sanksi, dalam upaya untuk menyamarkan jejak transaksi.

Sebagai tanggapan, korban menerbitkan sebuah pesan onchain menuntut pengembalian 98% dana yang dicuri dalam waktu 48 jam. Pesan tersebut, yang didukung dengan ancaman hukum, menawarkan pelaku $1 juta sebagai hadiah white-hat jika aset dikembalikan secara utuh.

Kegagalan untuk mematuhi, peringatan dalam pesan tersebut, akan memicu eskalasi hukum dan tuntutan pidana.

“Ini adalah kesempatan terakhir Anda untuk menyelesaikan masalah ini secara damai,” tulis korban dalam pesan tersebut. “Jika Anda gagal mematuhi: kami akan meningkatkan masalah ini melalui saluran penegakan hukum internasional secara legal.”

Eksploitasi address poisoning tidak memanfaatkan kerentanan dalam kode atau kriptografi, tetapi justru memanfaatkan kebiasaan pengguna, yaitu ketergantungan pada pencocokan alamat parsial dan menyalin-tempel dari riwayat transaksi.