Waspada Modus Phishing Lewat Bookmark yang Kuras Aset Kripto

Sebuah modus penipuan baru membajak akun kripto yang masih dalam keadaan login lewat jalur yang jarang dicurigai orang: bookmark di browser. Peringatan soal serangan ini muncul pada 7 Oktober pukul 21.05 waktu AS Timur (01.05 UTC), dan menyasar pengguna antarmuka web sebuah layanan kripto. Begitu akun berhasil dibajak, aset kripto di dalamnya bisa langsung raib.

Intinya satu: jangan pernah menyimpan dan menjalankan kode yang tidak Anda kenali di browser, apalagi saat akun kripto Anda sedang terbuka. Serangan ini bekerja justru dengan menumpang pada sesi login yang sudah sah.

Alurnya dimulai dari halaman yang berpura-pura meminta "verifikasi bahwa Anda manusia". Di situ korban diarahkan untuk menyeret potongan kode JavaScript ke bilah bookmark browser lalu menyimpannya. Setelah tersimpan, cukup bookmark itu diklik dua atau tiga kali, dan penyerang bisa mengambil alih akun yang tadinya sudah login.

Kenapa bookmark bisa sebahaya itu? Karena bookmark tidak selalu sekadar menyimpan alamat halaman — ia juga bisa menyimpan perintah yang ikut berjalan di halaman yang sedang Anda buka saat diklik. Jadi ketika Anda mengklik bookmark jahat itu sementara dompet kripto Anda sedang aktif, kode tersebut berjalan seolah-olah Anda sendiri yang memberikannya izin, memakai sesi login Anda yang masih hidup. Dari sinilah kontrol akun berpindah tangan.

Tanda bahaya yang perlu diingat sederhana: halaman verifikasi yang menyuruh Anda menyeret sesuatu ke bookmark hampir pasti bukan verifikasi biasa. Verifikasi manusia yang wajar tidak pernah meminta Anda menyimpan kode. Yang bisa mengubah seberapa luas dampaknya adalah seberapa banyak pengguna yang terlanjur menyimpan bookmark semacam itu, dan apakah mereka sadar membuangnya sebelum sempat diklik.