Peretasan media sosial crypto terbaru: cara menghindari penipuan

Meningkatnya media sosial telah merevolusi komunikasi dan bisnis, tetapi juga menarik peretas dan penipu, terutama dengan integrasi mata uang kripto sosial. Tidak ada platform, dari Twitter hingga Discord, yang aman dari penjahat siber yang memanfaatkan kerentanan pengguna. Dalam beberapa tahun terakhir terjadi lonjakan peretasan media sosial terkait kripto, termasuk serangan phishing, giveaway palsu, penipuan impersonation scams, dan malware. Serangan-serangan ini sering menggunakan social engineering untuk menipu pengguna agar mengungkapkan informasi sensitif atau mengirim uang kepada pelaku kejahatan, yang berujung pada kerugian finansial, pencurian identitas, dan kerusakan reputasi. 

Teks ini membahas peretasan media sosial terkait kripto yang terjadi baru-baru ini, mengungkap taktik para penjahat siber, dan menawarkan tips untuk melindungi diri dari penipuan semacam itu.

Situasi saat ini: studi kasus

Beberapa akun media sosial profil tinggi telah diretas dalam beberapa minggu pertama tahun 2024. 

U.S. Securities and Exchange Commission (SEC)

Pada awal Januari 2024, akun X SEC (sebelumnya Twitter) dikompromikan dalam serangan yang terorganisir dengan baik. Tepat sebelum keputusan resmi mengenai Bitcoin ETF, para peretas memperoleh akses tidak sah ke akun media sosial SEC dan memposting pengumuman palsu bahwa ETF tersebut telah disetujui. Berita palsu ini dengan cepat menyebar dan menyebabkan volatilitas pasar yang signifikan, sehingga jutaan dolar dalam bentuk mata uang kripto diperdagangkan berdasarkan berita palsu tersebut. Seperti yang kemudian diketahui, serangan ini dimungkinkan karena SEC gagal mengaktifkan multi-factor authentication (MFA) pada akun mereka. 

Mandiant

Mandiant, perusahaan keamanan siber yang diakuisisi oleh Google pada tahun 2022, juga menjadi korban peretasan media sosial pada Januari 2024. Akun X perusahaan tersebut, yang tidak mengaktifkan MFA, dibobol melalui serangan brute-force password-guessing. Setelah berhasil masuk, para peretas membagikan tautan ke halaman penipuan yang terlihat sah tetapi dirancang untuk mencuri mata uang kripto. Akibatnya, ribuan dolar dalam bentuk mata uang kripto di blockchain Solana dicuri. 

CoinGecko

Platform kripto CoinGecko mengalami pembobolan canggih pada akun X-nya pada Januari 2024. Meskipun MFA diaktifkan, akun tersebut dikompromikan ketika seorang karyawan tanpa sengaja mengeklik tautan Calendly palsu, yang merupakan bagian dari serangan phishing yang ditargetkan. Penyerang kemudian menggunakan akun yang telah dikompromikan untuk memposting airdrop token palsu, menyesatkan banyak pengguna agar mengira mereka bisa menerima token gratis. Akibatnya, banyak pengguna memberikan informasi private key mereka dan akhirnya kehilangan akses ke crypto wallets mereka. Ini menunjukkan betapa canggihnya social engineering dapat melewati perlindungan teknis seperti MFA dengan memanfaatkan kerentanan manusia. Contoh ini juga menekankan pentingnya melatih karyawan untuk mengenali dan menghindari upaya phishing.

CertiK

CertiK, perusahaan keamanan blockchain yang dikenal karena mengaudit smart contracts, mengalami pembobolan yang patut dicatat pada Januari 2024. Para penyerang mengompromikan akun X CertiK dan memposting tautan ke situs web Revoke palsu. Situs tiruan ini dirancang agar terlihat seperti alat yang sah untuk mencabut izin yang diberikan kepada dApps, tetapi sebenarnya digunakan untuk menguras nilai dari crypto wallets para korban. Serangan tersebut, yang melibatkan social engineering canggih, mengungkap kerentanan bahkan pada perusahaan yang didedikasikan untuk keamanan blockchain. 

Taktik umum yang digunakan oleh penipu

Para penipu menggunakan berbagai macam taktik untuk menipu pengguna dan mendapatkan akses ke mata uang kripto mereka. Memahami taktik ini sangat penting untuk melindungi diri Anda dan aset Anda. Berikut adalah beberapa metode paling umum yang digunakan penjahat siber di dunia kripto.

Serangan phishing

Phishing adalah salah satu taktik yang paling umum digunakan oleh penipu. Metode ini melibatkan pengiriman pesan palsu, sering kali melalui email atau media sosial, yang tampak berasal dari sumber tepercaya. Tujuannya adalah membuat penerima memberikan informasi sensitif, seperti private keys, kata sandi, atau kode two-factor authentication.

• Cara Kerjanya: Penipu membuat situs web atau pesan palsu yang meniru yang asli. Pengguna dijebak untuk memasukkan detail login atau informasi sensitif lainnya, yang kemudian digunakan penipu untuk mendapatkan akses ke akun mereka.
• Contoh Dunia Nyata Pada 5 Mei 2024, server Discord milik Gnus.AI menjadi target serangan phishing yang canggih. Peretas mendapatkan akses ke kredensial administratif server dan menggunakannya untuk menyebarkan tautan berbahaya yang meniru situs pembuatan token kripto yang sah. Eksploitasi ini mengakibatkan pencurian sekitar $1,27 juta. Para penyerang memanfaatkan fungsi smart contract Ethereum untuk membuat token palsu, yang kemudian dijual kepada pengguna yang tidak curiga.

Social engineering

Social engineering melibatkan manipulasi individu agar melakukan tindakan atau mengungkapkan informasi rahasia. Penipu sering memanfaatkan psikologi manusia, menggunakan perasaan seperti kepercayaan atau ketakutan.

• Cara Kerjanya: Penyerang berpura-pura menjadi dukungan teknis, rekan kerja, atau sosok tepercaya lainnya untuk mendapatkan kepercayaan target mereka. Setelah kepercayaan terbangun, mereka meminta informasi sensitif atau membuat korban melakukan tindakan yang membahayakan keamanan.
• Contoh Dunia Nyata: Peretasan akun X CEO Polychain Capital melibatkan taktik social engineering. Para penyerang menipu CEO agar mengungkapkan informasi yang memungkinkan mereka mengakses akun dan memposting pengumuman palsu tentang airdrop palsu, yang menyebabkan pengguna kehilangan dana mereka.

Giveaway palsu dan airdrop

Penipu sering memanfaatkan antusiasme seputar giveaway dan airdrop. Mereka menjanjikan token atau koin gratis sebagai imbalan atas pembayaran kecil atau informasi pribadi, tetapi giveaway tersebut tidak pernah benar-benar ada.

• Cara Kerjanya: Penipu membuat akun media sosial atau situs web palsu yang berpura-pura menawarkan token gratis. Untuk menerimanya, pengguna diminta memverifikasi wallet mereka dengan mengirim sejumlah kecil kripto atau memberikan private keys mereka untuk menerima giveaway. Setelah penipu mendapatkan data yang diinginkan, mereka menghilang dan meninggalkan pengguna tanpa apa pun.
• Contoh Dunia Nyata: Selama penipuan Bitcoin Twitter tahun 2020, para peretas menggunakan akun-akun profil tinggi yang telah dikompromikan untuk mempromosikan giveaway Bitcoin palsu, dan berhasil mencuri lebih dari $100.000. Demikian pula, peretasan CertiK melibatkan situs web Revoke palsu, yang menipu pengguna agar mengungkapkan detail wallet mereka.

Distribusi malware

Malware, atau perangkat lunak berbahaya, adalah taktik umum lainnya yang digunakan penipu untuk mencuri token. Malware dapat disamarkan sebagai perangkat lunak, aplikasi, atau tautan yang sah dan dirancang untuk mengumpulkan informasi sensitif atau mendapatkan akses tidak sah ke perangkat pengguna.

• Cara Kerjanya: Setelah dipasang, malware dapat merekam penekanan tombol, mengambil tangkapan layar, atau bahkan memberi akses jarak jauh kepada penyerang. Malware sering menargetkan aplikasi wallet atau platform tempat transaksi mata uang kripto dilakukan.
• Contoh Dunia Nyata: Peretasan Mandiant melibatkan pembagian tautan ke halaman penipuan yang kemungkinan mendistribusikan malware. Mengunjungi halaman tersebut membuat pengguna tanpa sengaja mengunduh perangkat lunak berbahaya yang mengungkapkan informasi sensitif tentang crypto wallets mereka di blockchain Solana.

Cara melindungi diri Anda

Melindungi diri dari peretasan media sosial terkait kripto memerlukan kombinasi kesadaran dan praktik terbaik. Berikut adalah strategi utama untuk mengamankan aset Anda:

• Aktifkan multi-factor authentication (MFA) pada semua akun Anda. MFA menambahkan lapisan keamanan ekstra dengan tidak hanya meminta kata sandi tetapi juga bentuk verifikasi kedua, seperti kode dari aplikasi autentikasi. Ini secara signifikan mengurangi risiko akses tidak sah bahkan jika kata sandi Anda telah dikompromikan.
• Waspadai pesan yang tidak diminta, email, atau posting media sosial yang meminta informasi sensitif. Selalu periksa ulang URL dan verifikasi keabsahan setiap permintaan informasi pribadi. Hindari mengeklik tautan atau mengunduh lampiran dari sumber yang tidak dikenal atau mencurigakan.
• Perbarui perangkat dan perangkat lunak Anda secara rutin. Perangkat lunak yang kedaluwarsa dapat memiliki kerentanan yang dieksploitasi peretas. Aktifkan pembaruan otomatis pada sistem operasi, browser, dan aplikasi wallet kripto Anda. Selain itu, gunakan program antivirus dan anti-malware yang tepercaya untuk melindungi perangkat Anda dari perangkat lunak berbahaya.
• Gunakan kata sandi yang kuat dan unik untuk setiap akun Anda. Password manager dapat membantu menghasilkan dan menyimpan kata sandi kompleks, sehingga lebih mudah menjaga keamanan yang kuat di berbagai platform.
• Pelajari teknik social engineering yang umum, seperti impersonation dan pretexting, dan selalu verifikasi identitas siapa pun yang meminta informasi sensitif.
• Amankan private keys Anda. Simpan secara offline di hardware wallet atau lokasi fisik yang aman, dan jangan pernah membagikannya dengan siapa pun. Berhati-hatilah saat memasukkan private keys ke platform online, karena hal ini dapat membuat Anda rentan terhadap pencurian.
• Pantau aktivitas akun Anda secara rutin untuk mendeteksi dan menanggapi perilaku mencurigakan dengan cepat. Atur peringatan untuk upaya login dan transaksi, serta tinjau aktivitas akun Anda sesering mungkin. Laporkan segera setiap tindakan yang tidak biasa untuk meminimalkan potensi kerusakan.
• Hindari melakukan transaksi sensitif melalui Wi-Fi publik, yang bisa tidak aman dan rentan disadap oleh pelaku berbahaya. Jika Anda harus menggunakan Wi-Fi publik, pastikan Anda memiliki virtual private network (VPN) yang andal untuk mengenkripsi data Anda. Idealnya, lakukan transaksi melalui jaringan pribadi yang aman.
• Verifikasi keaslian komunikasi, terutama yang terkait dengan transaksi keuangan atau pembaruan keamanan. Hubungi langsung entitas tersebut menggunakan informasi kontak yang terverifikasi jika Anda menerima pesan yang aneh. Jangan gunakan detail kontak dalam pesan mencurigakan itu sendiri karena dapat menyebabkan kehilangan data. 

Kesimpulan

Meningkatnya peretasan media sosial terkait kripto menegaskan perlunya praktik keamanan yang kuat dan kewaspadaan. Perbarui pengaturan keamanan Anda secara rutin dan waspadai komunikasi yang tidak diminta untuk melindungi aset Anda dan meningkatkan kepercayaan dalam interaksi online. Di ranah media sosial yang tidak dapat diprediksi, keamanan proaktif adalah pertahanan terbaik Anda. Prioritaskan perlindungan kekayaan digital Anda agar tetap aman dan terlindungi.