Ketika Satu Kesalahan Ketik Menghabiskan $50 Juta: Bagaimana Trik Alamat Dompet Mengakali Bahkan Pedagang yang Hati-hati

Sebuah $50 juta dolar yang mengagumkan menghilang dalam hitungan detik—bukan melalui peretasan atau eksploitasi kontrak pintar, tetapi melalui serangan yang tampaknya sederhana yang memanfaatkan cara orang berinteraksi dengan dompet mereka. Insiden ini mengungkapkan sebuah kebenaran yang menakutkan: kebiasaan keamanan yang akrab bisa menjadi kerentanan ketika desain antarmuka bekerja melawannya.

Badai yang Sempurna: Mengapa Transfer Uji Coba Kali Ini Gagal

Pendekatan korban tampak seperti buku panduan. Sebelum memindahkan hampir $50 juta dolar dalam USDT, mereka melakukan transfer uji coba kecil—sebuah praktik yang secara universal direkomendasikan oleh para ahli keamanan. Transfer uji coba 50 USDT berjalan lancar, muncul di riwayat transaksi mereka beberapa saat kemudian.

Di situlah serangan mulai terjadi.

Analisis on-chain dari Lookonchain mengungkapkan bahwa pelaku telah memantau tepat pada saat ini. Dalam hitungan detik setelah transfer uji coba muncul di riwayat korban, penipu mengirimkan alamat palsu yang dirancang khusus. Alamat tersebut memiliki empat karakter pertama dan terakhir yang identik dengan dompet resmi korban. Secara kasat mata—terutama ketika dompet menampilkan alamat yang dipotong dengan “…”—alamat palsu tersebut tampak asli.

Ketika pengguna kembali untuk melakukan transfer USDT sebesar $49.999.950, mereka mengambil jalan pintas yang banyak orang lakukan: menyalin alamat langsung dari riwayat transaksi mereka alih-alih mengambil dari alamat yang disimpan asli. Satu kali tempel, dan seluruh jumlah mengalir ke akun pelaku. Sifat blockchain yang tidak dapat diubah berarti tidak ada tombol undo.

Address Poisoning: Serangan Berusaha Rendah yang Berhasil dalam Skala Besar

Teknik ini, yang dikenal sebagai address poisoning, tidak memerlukan pencurian kunci pribadi atau manipulasi kontrak pintar yang kompleks. Ini memanfaatkan perilaku manusia murni yang dipadukan dengan pilihan desain UI dompet.

Serangan ini berhasil karena sebagian besar antarmuka dompet mengaburkan alamat demi keterbacaan. Pengguna biasanya memverifikasi transfer dengan memeriksa karakter pertama dan terakhir yang terlihat—sebuah jalan pintas yang masuk akal. Tetapi pelaku memanfaatkan perilaku ini dengan menghasilkan alamat yang mencerminkan segmen yang terlihat tersebut. Dengan menanamkan alamat palsu di riwayat transaksi terbaru tepat setelah transfer uji coba, mereka mengubah kenyamanan pengguna menjadi jebakan.

Yang membuat kasus ini sangat mencolok adalah tingkat kecanggihannya yang dipadukan dengan kesederhanaan. Sementara percakapan keamanan blockchain sering fokus pada kerentanan tingkat protokol dan eksploitasi kontrak, address poisoning membuktikan bahwa terkadang serangan paling merusak tidak memerlukan keahlian teknis—hanya pengenalan pola dan timing.

Jejak Uang Setelah Perampokan: Dirancang untuk Menghilang

USDT yang dicuri tidak pernah diam saja. Dalam beberapa jam, analisis rantai menunjukkan rangkaian pencucian yang direncanakan dengan matang. Pelaku mengonversi sebagian dana yang dicuri ke ETH dan mendistribusikannya ke beberapa dompet untuk memecah jejak. Langkah terakhir dilakukan secara sengaja: mengarahkan aset ke Tornado Cash, sebuah mixer privasi yang menyamarkan asal-usul transaksi.

Begitu dana masuk ke protokol privasi ini, pemulihan menjadi hampir mustahil tanpa intervensi langsung dari bursa atau token tata kelola. Kecepatan dan koreografi pergerakan ini—yang dilakukan beberapa saat setelah transfer—menunjukkan bahwa pelaku telah menyiapkan infrastruktur ini sebelumnya, menunggu transfer besar untuk memicu skema tersebut.

Mengapa Analis Mengeluarkan Alarm

Scam address poisoning biasanya menjadi berita utama hanya ketika menargetkan jumlah kecil—biasanya dianggap sebagai peluang belajar bagi pengguna yang kurang berpengalaman. Kehilangan $50 juta dolar ini menghancurkan narasi tersebut.

Yang mengejutkan para peneliti keamanan adalah profil korban. Ini bukan pemula ceroboh yang mengabaikan peringatan. Ini adalah seseorang yang mengikuti praktik terbaik—melakukan transfer uji coba untuk memverifikasi alamat. Ironinya, langkah yang dirancang untuk mencegah kesalahan justru menjadi mekanisme yang memudahkan terjadinya kesalahan tersebut.

Detik-detik tambahan berhati-hati—menyalin dari sumber yang disimpan asli daripada riwayat transaksi—seharusnya bisa mencegah kerugian ini seluruhnya. Tetapi di bawah tekanan waktu dan dengan menganggap bahwa alamat yang muncul di riwayat yang familiar adalah asli, jalan pintas kognitif ini mengalahkan pertimbangan.

Masalah Desain Dompet yang Belum Sepenuhnya Terpecahkan

Insiden ini menyoroti ketegangan yang tidak nyaman dalam desain dompet. Memotong alamat meningkatkan kejelasan visual dan mengurangi beban kognitif—yang bermanfaat untuk penggunaan sehari-hari. Tetapi untuk transaksi bernilai tinggi, singkatan yang sama justru mengurangi keamanan dengan memungkinkan spoofing alamat berhasil dalam skala besar.

Beberapa penyedia dompet telah mulai menerapkan langkah-langkah antisipasi: sistem peringatan untuk potensi address poisoning, alamat yang ditandai yang sangat mirip dengan alamat yang dikenal, atau whitelist alamat yang membatasi transfer ke tujuan yang sudah disetujui. Namun adopsi masih tersebar dan tidak konsisten di berbagai platform.

Kesimpulan yang tidak nyaman: mengandalkan verifikasi visual saja—bahkan saat mengikuti protokol keamanan yang sudah mapan—terbukti tidak cukup untuk jumlah besar. Pendekatan korban yang teliti tidak mampu mengatasi desain antarmuka yang membuat alamat palsu tampak sama dengan yang asli.

Kasus ini kemungkinan akan mengubah cara industri memikirkan perlindungan pengguna—bukan dari serangan yang canggih, tetapi dari interaksi antara perilaku manusia dan antarmuka keamanan yang buruk.