Saat Banyak Orang Tarik Kripto ke Dompet Sendiri, Penipuan Alamat Kembar Mengintai

Sebuah modus lama kembali ramai dibicarakan: penipuan "keracunan alamat" (address poisoning), di mana penyerang menyusupkan alamat dompet yang tampak mirip ke dalam riwayat transaksi seseorang, berharap korban kelak menyalin alamat palsu itu saat mengirim aset. Risikonya cenderung meningkat justru ketika banyak orang serempak menarik kripto dari bursa ke dompet dingin (cold wallet) pribadi — momen di mana aktivitas dompet ramai dan mata mudah lengah.

Mekanismenya sederhana tapi licik. Alamat kripto adalah deretan karakter yang panjang dan acak, dan hampir tidak ada orang yang menghafalnya. Kebanyakan dari kita hanya melirik beberapa huruf dan angka di awal dan di akhir, lalu menganggapnya benar. Penyerang tahu kebiasaan itu. Mereka membuat alamat palsu yang empat karakter depan dan empat karakter belakangnya sama persis dengan alamat tujuan asli, lalu mengirim transfer berulang dari alamat kembar tadi ke dompet calon korban — terutama dompet yang alamatnya terbuka atau yang baru-baru ini aktif. Tujuannya satu: agar alamat palsu itu nongol di daftar riwayat. Lain waktu, ketika korban buru-buru dan tinggal "pilih dari transaksi terakhir", yang terambil justru alamat milik penipu.

Ada pula jalur lain, yaitu program jahat yang mengintai papan tempel (clipboard). Saat Anda menyalin-tempel alamat, diam-diam program itu menukarnya dengan alamat penyerang, sehingga yang Anda tempel bukan lagi alamat yang tadi Anda salin.

Karena itu, satu kebiasaan kecil menjadi penentu: sebelum menekan kirim, cocokkan seluruh alamat tujuan dengan alamat yang Anda maksud, bukan hanya ujung-ujungnya, dan lakukan dua sampai tiga kali secara terpisah. Hindari pengisian otomatis dari riwayat, jangan ambil dari daftar transaksi terakhir, dan jangan terlalu percaya pada isi clipboard saat mengetikkan alamat. Pemeriksaan yang memakan waktu beberapa detik ini jauh lebih murah daripada kehilangan aset yang tidak bisa ditarik kembali.

Bahwa taruhannya nyata sudah pernah terlihat pada kasus sebelumnya: sebuah serangan keracunan alamat terjadi setelah penarikan dari Compound, menyangkut pertukaran sekitar 2 juta dolar AS dalam Dai (DAI) menjadi 825,5 Ether (ETH). Angka itu mengingatkan bahwa yang membedakan dana sampai dengan dana hilang kadang hanya beberapa karakter di tengah alamat yang luput diperiksa.