Otorisasi salah saat menggunakan WiFi umum: biaya keamanan sebesar 5000 dolar

Menulis: The Smart Ape

Diterjemahkan: Luffy, Foresight News

Tautan:

Pernyataan: Artikel ini adalah konten yang diambil kembali, pembaca dapat memperoleh informasi lebih lengkap melalui tautan asli. Jika penulis memiliki keberatan terhadap bentuk repost ini, silakan hubungi kami, dan kami akan melakukan modifikasi sesuai permintaan penulis. Repost ini hanya untuk berbagi informasi, tidak merupakan saran investasi apa pun, dan tidak mewakili pandangan maupun posisi Wu.

Beberapa hari yang lalu, saya bersama keluarga menginap di sebuah hotel mewah selama tiga hari untuk merayakan liburan akhir tahun. Tapi keesokan harinya setelah check-out, dompet cryptocurrency saya langsung dibobol. Saya benar-benar bingung, saya sama sekali tidak mengklik tautan phishing apa pun, juga tidak menandatangani transaksi berbahaya.

Saya menghabiskan beberapa jam untuk menyelidiki, bahkan menyewa ahli khusus untuk membantu, akhirnya saya bisa memahami seluruh proses pencurian tersebut. Semua ini bermula dari WiFi umum hotel, sebuah panggilan singkat, dan serangkaian kesalahan bodoh yang saya lakukan.

Seperti kebanyakan penggemar cryptocurrency, meskipun sedang menginap bersama keluarga, saya selalu membawa laptop, berpikir akan sempat mengurus pekerjaan di sela waktu. Istri saya berulang kali mengingatkan agar saya benar-benar meninggalkan pekerjaan selama tiga hari ini. Sekarang, saya sadar bahwa saya seharusnya mendengarkan nasihatnya.

Jadi, saya dan orang lain pun terhubung ke WiFi umum hotel. Jaringan ini tidak memerlukan kata sandi, cukup melalui portal otentikasi paksa untuk mengaksesnya.

Seperti biasa, saya mengurus pekerjaan tanpa melakukan tindakan berisiko: tidak membuat dompet baru, tidak membuka tautan asing, dan tidak menggunakan aplikasi terdesentralisasi (dApp) yang mencurigakan. Hanya sekadar berselancar di platform sosial X, memeriksa saldo dompet, dan browsing Discord serta Telegram.

Tepat saat itu, saya menerima panggilan dari seorang teman di bidang cryptocurrency. Kami berbincang tentang kondisi pasar, Bitcoin, dan beberapa perkembangan industri crypto.

Tapi saya sama sekali tidak menyangka, ada orang di dekatnya yang sedang menguping percakapan kami, dan langsung menyadari bahwa saya adalah pelaku di bidang crypto. Ini adalah kesalahan pertama yang saya buat. Orang ini tidak hanya mendengar bahwa saya menggunakan dompet Phantom, tetapi juga menebak bahwa saya memegang token yang cukup besar.

Karena itu, saya menjadi targetnya.

Karakteristik WiFi umum adalah semua perangkat berbagi jaringan yang sama, tingkat visibilitas antar perangkat jauh lebih tinggi dari yang Anda bayangkan, dan tidak ada isolasi keamanan nyata antar pengguna. Ini memberi peluang bagi hacker untuk melakukan serangan man-in-the-middle. Dalam mode serangan ini, hacker menyusup di antara Anda dan internet, seperti seseorang yang membuka surat yang dikirimkan kepada Anda sebelum sampai ke tangan Anda, membaca dan mengubah isinya secara diam-diam.

Saat saya browsing di WiFi hotel, ada sebuah situs yang tampaknya memuat normal, tetapi sebenarnya telah disusupi kode berbahaya. Saat itu saya sama sekali tidak menyadarinya. Jika saya sebelumnya menginstal beberapa alat keamanan, mungkin saya bisa mendeteksi keanehan, tapi saya tidak melakukannya.

Biasanya, beberapa situs akan meminta pengguna menandatangani sesuatu dengan dompet mereka, dan saat itu Phantom akan menampilkan jendela pop-up yang meminta konfirmasi dari pengguna. Biasanya, pengguna akan langsung mengizinkan berdasarkan kepercayaan terhadap situs dan browser. Tapi hari itu, saya seharusnya tidak melakukan hal itu.

Saya sedang melakukan pertukaran token di platform decentralized Jupiter Exchange, dan kode berbahaya memanfaatkan kesempatan ini untuk mengubah proses, menampilkan permintaan otorisasi dompet, bukan instruksi pertukaran yang sebenarnya ingin saya lakukan. Sebenarnya, saya bisa memeriksa detail transaksi dengan cermat dan menyadari bahwa ini adalah permintaan berbahaya, tapi karena saya memang sedang beroperasi di platform Jupiter, saya tidak curiga.

Yang saya tanda tangani hari itu bukanlah transaksi pengalihan aset, melainkan sebuah perjanjian otorisasi izin.

Inilah sebabnya mengapa dompet saya dibobol beberapa hari kemudian.

Kode berbahaya ini sangat licik, tidak langsung meminta saya mentransfer token platform SOL, karena itu terlalu mencolok. Permintaan yang muncul adalah “otorisasi akses”, “setujui hak akun”, atau “konfirmasi sesi” yang samar-samar.

Singkatnya, saya secara tidak sadar mengizinkan alamat asing lain untuk mengoperasikan dompet saya.

Saya menyetujui permintaan ini karena mengira itu adalah langkah yang normal di platform Jupiter. Saat itu, notifikasi dari Phantom penuh dengan istilah teknis, tanpa menunjukkan jumlah transfer, dan tidak memberi tahu bahwa ini adalah transaksi langsung.

Pada titik ini, hacker sudah memiliki semua syarat untuk mencuri aset saya. Mereka menunggu saya meninggalkan hotel, lalu segera mentransfer SOL, berbagai token, dan semua NFT dari dompet saya.

Saya tidak pernah membayangkan hal seperti ini akan terjadi pada saya. Untungnya, dompet ini bukan dompet utama saya, melainkan dompet panas untuk operasi sehari-hari, bukan dompet penyimpanan jangka panjang. Meski begitu, saya tetap melakukan banyak kesalahan, dan saya merasa bertanggung jawab utama atas kejadian ini.

Pertama, saya seharusnya tidak menghubungkan ke WiFi umum hotel, melainkan menggunakan hotspot dari ponsel saya.

Kedua, saya terlalu santai dan tidak waspada, bahkan berbicara tentang cryptocurrency di tempat umum seperti hotel tanpa memikirkan kemungkinan orang di sekitar mendengar. Ayah saya selalu mengingatkan agar saya tidak memberi tahu orang luar tentang keterlibatan saya di bidang crypto. Jika lebih parah, bisa saja orang tersebut melakukan penculikan atau bahkan pembunuhan karena kepemilikan cryptocurrency.

Kesalahan fatal lainnya adalah saya menyetujui permintaan otorisasi dompet tanpa memeriksa secara teliti. Karena saya yakin permintaan itu berasal dari platform Jupiter, saya tidak menganalisis isinya secara mendalam. Saya ingin mengingatkan semua orang: apapun aplikasi yang digunakan, saat menghadapi permintaan otorisasi dompet, harus sangat berhati-hati dan memeriksa dengan seksama. Permintaan ini bisa saja disusupi hacker dan dimanipulasi, dan pengirimnya bukanlah aplikasi yang Anda kira.

Akhirnya, dompet saya kehilangan sekitar 5000 dolar. Meskipun situasi sebenarnya bisa lebih buruk, kejadian ini tetap membuat saya sangat frustrasi.