Hariankripto – Seorang pengguna kripto kehilangan 101.100 USDT setelah mengirim dana ke alamat palsu dalam serangan address poisoning. Pelaku menyiapkan jebakan tersebut sekitar 66 hari sebelum korban melakukan transfer besar.
Analis blockchain Lookonchain menyoroti kasus tersebut dan kembali mengingatkan pengguna agar selalu memeriksa seluruh karakter alamat dompet. Kesamaan beberapa karakter pada bagian awal dan akhir alamat tidak menjamin tujuan transaksi benar.
Address poisoning is everywhere.
— Lookonchain (@lookonchain) August 13, 2026
Always double-check the wallet address before sending funds, and never copy an address from your transaction history.
Another victim copied a wallet address from the transaction history and sent funds without double-checking, losing $100K!… pic.twitter.com/L2H8K3IpVk
Kasus ini juga menunjukkan risiko penggunaan riwayat transaksi sebagai referensi alamat. Pengguna perangkat seluler menghadapi risiko lebih tinggi karena layar kecil sering hanya menampilkan sebagian karakter alamat.
Pelaku Menanam Alamat Palsu Sejak 66 Hari Sebelumnya
Cyvers menemukan aktivitas mencurigakan pada dompet korban sekitar 66 hari sebelum kerugian terjadi. Pelaku mengirim transaksi kecil yang melibatkan dompet target. Langkah itu membuat alamat milik pelaku muncul dalam riwayat transaksi korban.
Pelaku tidak memilih alamat secara acak. Mereka membuat alamat yang memiliki karakter awal dan akhir serupa dengan alamat asli yang pernah korban gunakan.
Banyak dompet kripto dan block explorer mempersingkat alamat blockchain karena rangkaian karakternya cukup panjang. Pengguna akhirnya hanya melihat beberapa karakter pertama dan terakhir.
Kondisi tersebut membuka peluang bagi pelaku. Mereka membuat alamat yang tampak serupa ketika pengguna melihat versi singkatnya.
Saat korban ingin mengirim sekitar 100.000 USDT, korban mengambil alamat dari riwayat transaksi. Menurut Cyvers, korban tidak membandingkan seluruh karakter alamat tujuan dengan alamat penerima sebenarnya.
Akibatnya, korban mengirim 101.100 USDT ke dompet pelaku.
Metode ini berbeda dari peretasan dompet. Pelaku tidak membutuhkan private key. Mereka juga tidak perlu mengeksploitasi smart contract atau mengambil alih akun korban.
Sebaliknya, address poisoning memanfaatkan kebiasaan pengguna saat menyalin alamat. Pelaku cukup menempatkan alamat palsu ke dalam riwayat transaksi melalui transfer bernilai sangat kecil atau bahkan transaksi bernilai nol.
Karena itu, pengguna sebaiknya tidak menganggap riwayat transaksi sebagai buku alamat terpercaya. Pemeriksaan beberapa karakter saja juga tidak cukup untuk transaksi bernilai besar.
Pelaku Menukar USDT Curian Menjadi 52,8 ETH
Setelah menerima dana korban, pelaku segera menukar USDT tersebut menjadi Ethereum. Cyvers melaporkan bahwa dompet penerima memegang sekitar 52,8 ETH ketika perusahaan keamanan itu mengeluarkan peringatan.
Perubahan aset tersebut memiliki alasan penting. Tether sebagai penerbit USDT memiliki mekanisme yang dapat memblokir alamat tertentu melalui smart contract. Langkah ini dapat membatasi pergerakan USDT ketika perusahaan atau pihak terkait menemukan indikasi pencurian.
ETH memiliki karakter berbeda. Tidak ada penerbit tunggal yang memiliki fungsi pembekuan setara dengan mekanisme milik Tether.
Dengan menukar USDT menjadi ETH, pelaku berusaha mengurangi risiko pembekuan aset. Namun, perubahan tersebut juga membuat nilai aset pelaku mengikuti pergerakan harga Ethereum.
Cyvers belum melaporkan pemulihan dana dalam peringatan awalnya. Perusahaan tersebut juga tidak mengungkap identitas korban kepada publik.
Selain itu, laporan tidak menunjukkan kelemahan pada jaringan Ethereum, sistem Tether, atau perangkat lunak dompet korban. Insiden ini muncul akibat manipulasi alamat dan kesalahan saat memverifikasi tujuan transfer.
Kasus serupa sebelumnya menimbulkan kerugian besar juga. Pada Februari 2026, dua pengguna dompet kripto kehilangan total sekitar US$62 juta dalam serangan dengan pola serupa.
Scam Sniffer melaporkan di bualn Februari 2026 seorang pengguna kripto kehilangan US$50 juta dari total tersebut di bulan Janurai 2026. Lalu di bulan Desember 2025 Korban sebelumnya juga kehilangan sekitar US$12,25 juta atau sekitar 4.556 ETH.
Dalam salah satu kasus, korban lebih dulu mengirim 50 USDT ke alamat yang benar sebagai transaksi percobaan. Setelah itu, pelaku memasukkan alamat tiruan ke riwayat melalui transaksi kecil senilai 0,005 USDT.
Korban kemudian mengambil alamat yang salah dari riwayat transaksi dan mengirim hampir 50 juta USDT kepada pelaku. Kasus tersebut menunjukkan bahwa transaksi percobaan saja belum cukup jika pengguna mengambil kembali alamat tujuan dari sumber yang tidak aman.
Pengguna Perlu Memeriksa Seluruh Alamat Sebelum Mengirim Kripto
Peningkatan serangan address poisoning membuat verifikasi alamat semakin penting. Biaya transaksi yang rendah juga membantu pelaku menjalankan kampanye dalam skala besar.
Scam Sniffer sebelumnya menemukan jutaan transaksi kecil setiap hari yang berkaitan dengan aktivitas semacam ini. Banyak pelaku menggunakan transaksi tersebut untuk menyiapkan jebakan sebelum korban melakukan transfer besar.
Pada Maret 2026, seorang pengguna stablecoin bahkan melaporkan 89 peringatan address poisoning hanya dalam 30 menit setelah melakukan dua transaksi asli. Kondisi tersebut menunjukkan bahwa pelaku dapat menjalankan proses ini secara otomatis.
Pengguna dapat mengurangi risiko dengan menyimpan alamat terpercaya dalam fitur address book. Cara ini lebih aman daripada mengambil alamat dari daftar transaksi terakhir.
Selanjutnya, pengguna perlu membandingkan seluruh alamat sebelum mengonfirmasi transaksi. Pemeriksaan karakter awal dan akhir saja tidak memberikan perlindungan yang cukup.
Transaksi percobaan tetap berguna, terutama untuk pengiriman bernilai besar. Namun, pengguna harus memakai alamat tujuan yang sama dari sumber terpercaya saat melakukan transaksi utama. Mengambil ulang alamat dari riwayat transaksi setelah tes justru dapat membuka peluang baru bagi pelaku.
Pengguna perangkat seluler juga perlu lebih berhati-hati. Tampilan layar yang sempit sering menyembunyikan sebagian besar karakter alamat. Karena itu, pengguna perlu membuka detail lengkap sebelum menekan tombol konfirmasi.
Selain itu, pengguna sebaiknya melakukan pemeriksaan kedua untuk transaksi bernilai tinggi. Pengirim dapat mencocokkan alamat dengan penerima melalui saluran komunikasi lain sebelum memindahkan dana.
Kasus kehilangan 101.100 USDT ini menunjukkan bahwa keamanan kripto tidak hanya bergantung pada perlindungan private key. Kebiasaan saat memeriksa alamat juga memainkan peran penting. Scam sniffer juga menyediakan bagaimana pengguna kripto untuk menghindari hal semacam ini.
how to avoid being phished?
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) February 4, 2024
be cautious of phishing attempts in these common scenarios,
and familiarize yourself with common phishing signatures that can lead to the theft of your assets. https://t.co/FbeOaGkoqU pic.twitter.com/TXgDTWrfwl
Satu karakter yang berbeda dapat mengubah tujuan transaksi sepenuhnya. Oleh karena itu, pengguna perlu memperlakukan setiap alamat baru sebagai data yang harus mereka verifikasi secara menyeluruh sebelum mengirim aset.
