Serangan “Address Poisoning Attack” yang tampaknya sederhana namun sering berhasil, baru-baru ini sering terjadi. Baru-baru ini, seorang trader aset kripto kehilangan hampir 50 juta USD dalam waktu singkat hanya dalam setengah jam karena terjebak dalam jebakan semacam ini. Meskipun setelah kejadian tersebut, dia menawarkan bounty sebesar 1 juta USD untuk meminta penyerang mengembalikan aset, harapan untuk mendapatkan kembali aset yang dicuri yang telah masuk ke platform pencampur sangat tipis.
Menurut analisis data on-chain dari platform Lookonchain, peristiwa ini terjadi pada 20 Desember, di mana korban saat itu sedang menarik aset dari Binance dan berniat untuk mentransfernya ke dompet pribadi.
Seorang korban (0xcB80) kehilangan $50M akibat kesalahan salin-tempel alamat.
Sebelum mentransfer 50M $USDT, korban mengirim 50 $USDT sebagai tes ke alamatnya sendiri 0xbaf4b1aF…B6495F8b5.
Penipu segera menyamarkan dompet dengan 4 karakter pertama dan terakhir yang sama dan melakukan sebuah… pic.twitter.com/eGEx2oHiwA
— Lookonchain (@lookonchain) 20 Desember 2025
Sesuai dengan kebiasaan keamanan untuk transfer besar yang umum, korban terlebih dahulu mengirimkan 50 koin USDT sebagai transaksi pengujian untuk memastikan alamatnya benar. Namun, tepat setelah transfer kecil ini selesai, skrip otomatis yang dikendalikan oleh penyerang segera menghasilkan “Alamat Palsu (Spoofed Address)”, di mana 5 digit pertama dan 4 digit terakhir alamat tersebut persis sama dengan alamat penerimaan asli korban, hanya karakter tengah yang berbeda.
Selanjutnya, penyerang sengaja menggunakan “alamat penyamaran” untuk mengirim beberapa transaksi kecil ke dompet korban, agar “alamat beracun” muncul dalam daftar riwayat transaksi korban. Ketika korban ingin mentransfer sisa 49.990.000 USD, demi kemudahan, mereka langsung mengklik alamat penipuan yang sangat mirip dalam catatan transaksi.
Karena sebagian besar antarmuka dompet mengabaikan karakter tengah dengan menampilkan “…” untuk kemudahan membaca, hal ini membuat dua kelompok alamat hampir tidak dapat dibedakan secara visual.
Penjelajah blockchain Etherscan menunjukkan, pengujian transfer terjadi pada waktu UTC 3:06, sedangkan transfer yang sebenarnya menyebabkan kerugian besar terjadi sekitar 26 menit kemudian pada 3:32.
Perusahaan keamanan siber SlowMist menunjukkan bahwa penyerang ini adalah seorang “ahli pencucian uang” yang sesungguhnya. Setelah menerima hampir 50 juta USD dalam bentuk USDT, dia hanya membutuhkan waktu kurang dari 30 menit untuk menyelesaikan langkah-langkah berikut:
- **Pertukaran Cepat Antar Koin: ** Pertama, tukar USDT menjadi DAI melalui MetaMask Swap. Para ahli menganalisis, ini untuk menghindari mekanisme pembekuan daftar hitam Tether, karena DAI yang terdesentralisasi tidak memiliki langkah-langkah kontrol terpusat seperti itu.
- **Pencampuran Koin Secara Anonim: ** Penyerang segera menukar DAI menjadi sekitar 16,690 ETH, dan di antara jumlah tersebut, 16,680 ETH ditransfer ke pencampur Tornado Cash, sepenuhnya memutus jalur pelacakan aliran koin.
Untuk memulihkan kerugian, korban telah mengajukan syarat kepada penipu melalui pesan di blockchain: bersedia membayar bounty 1 juta USD, sebagai imbalan untuk mengembalikan 98% aset.
Korban memperingatkan dengan lebih jelas: “Kami telah resmi melaporkan, dan dengan bantuan dari lembaga penegak hukum, lembaga keamanan siber, dan berbagai protokol blockchain, kami telah mengumpulkan banyak informasi mengenai tindakan spesifik Anda.”
Kasus ini hanyalah puncak gunung es dari badai keamanan siber di dunia koin tahun ini. Menurut laporan terbaru dari Chainalysis, total pencurian aset kripto pada tahun 2025 telah melampaui 3,41 miliar USD, memecahkan rekor sejarah.
Perlu dicatat bahwa co-founder Casa, Jameson Lopp, memperingatkan bahwa “keracunan alamat” telah menyebar di berbagai blockchain, dan lebih dari 48.000 serangan serupa telah ditemukan hanya di jaringan Bitcoin. Ia sangat mendesak penyedia dompet untuk mengembangkan fitur “peringatan alamat serupa” yang akan muncul sebagai peringatan saat pengguna menyalin dan menempel, untuk mencegah terulangnya tragedi akibat kelalaian manusia semacam itu.
_
Penafian: Artikel ini hanya untuk memberikan informasi pasar, semua konten dan pandangan hanya untuk referensi, tidak merupakan saran investasi, tidak mewakili pandangan dan posisi blockchain. Investor harus membuat keputusan dan transaksi mereka sendiri, penulis dan blockchain tidak akan bertanggung jawab atas kerugian langsung atau tidak langsung yang timbul dari transaksi investor.
_
Tags: alamat aset kripto, serangan racun, aset digital, dompet white hat, peretas
Penafian: Informasi di halaman ini dapat berasal dari pihak ketiga dan tidak mewakili pandangan atau opini Gate. Konten yang ditampilkan hanya untuk tujuan referensi dan bukan merupakan nasihat keuangan, investasi, atau hukum. Gate tidak menjamin keakuratan maupun kelengkapan informasi dan tidak bertanggung jawab atas kerugian apa pun yang timbul akibat penggunaan informasi ini. Investasi aset virtual memiliki risiko tinggi dan rentan terhadap volatilitas harga yang signifikan. Anda dapat kehilangan seluruh modal yang diinvestasikan. Harap pahami sepenuhnya risiko yang terkait dan buat keputusan secara bijak berdasarkan kondisi keuangan serta toleransi risiko Anda sendiri. Untuk detail lebih lanjut, silakan merujuk ke
Penafian.
