Ancaman Penipuan Sosial terhadap Pengguna Coinbase dan Strategi Penanganannya

Dalam beberapa waktu terakhir, serangan rekayasa sosial di bidang aset kripto telah menjadi ancaman serius terhadap keamanan dana pengguna. Sejak tahun 2025, insiden penipuan rekayasa sosial yang menargetkan pengguna platform perdagangan tertentu telah sering terjadi, menarik perhatian luas di kalangan industri. Dari diskusi komunitas, terlihat bahwa kejadian semacam ini bukanlah kasus terisolasi, melainkan menunjukkan karakter yang berkelanjutan dan terorganisir.

Pada 15 Mei, sebuah platform perdagangan mengeluarkan pengumuman yang mengonfirmasi spekulasi sebelumnya tentang adanya "penyusup" di platform tersebut. Departemen Kehakiman AS telah memulai penyelidikan terkait insiden kebocoran data tersebut.

Artikel ini akan mengungkap metode utama penipuan yang digunakan oleh penipu dengan mengumpulkan informasi dari berbagai peneliti keamanan dan korban, serta membahas strategi efektif untuk menghadapinya dari sudut pandang platform dan pengguna.

Tinjauan Sejarah

Peneliti keamanan Zach menyatakan dalam pembaruan media sosialnya pada 7 Mei: "Hanya dalam seminggu terakhir, lebih dari 45 juta dolar telah dicuri dari pengguna suatu platform perdagangan akibat penipuan rekayasa sosial."

Dalam setahun terakhir, Zach telah beberapa kali mengungkapkan insiden pencurian pengguna di platform perdagangan tersebut di media sosial, dengan beberapa korban mengalami kerugian mencapai puluhan juta dolar. Dalam penyelidikan mendalam yang dirilis Zach pada Februari 2025, disebutkan bahwa hanya antara Desember 2024 hingga Januari 2025, total kerugian dana akibat jenis penipuan ini telah melebihi 65 juta dolar. Dia juga mengungkapkan bahwa platform tersebut menghadapi krisis "eyewash" yang serius, di mana serangan semacam ini secara rata-rata merugikan keamanan aset pengguna dengan skala 300 juta dolar per tahun.

Zach menunjukkan:

• Kelompok yang memimpin jenis penipuan ini terutama dibagi menjadi dua kategori: satu adalah penyerang tingkat rendah dari lingkaran tertentu, dan yang lainnya adalah organisasi kejahatan siber yang berbasis di India;
• Target serangan kelompok penipuan terutama adalah pengguna AS, metode kejahatan terstandarisasi, dan proses percakapan yang matang;
• Jumlah kerugian yang sebenarnya mungkin jauh lebih tinggi daripada statistik yang terlihat di blockchain, karena tidak termasuk informasi yang tidak dipublikasikan seperti tiket layanan pelanggan yang tidak dapat diakses dan catatan laporan polisi.

eyewash

Dalam peristiwa ini, sistem teknologi platform perdagangan tersebut tidak mengalami pelanggaran, penipu memanfaatkan hak akses karyawan internal untuk mendapatkan sebagian informasi sensitif pengguna. Informasi ini meliputi: nama, alamat, kontak, data akun, foto KTP, dan lain-lain. Tujuan akhir penipu adalah menggunakan teknik rekayasa sosial untuk mengarahkan pengguna melakukan transfer.

Jenis serangan ini mengubah metode penipuan "jaring" tradisional, dan beralih ke "serangan yang tepat", yang bisa disebut sebagai penipuan sosial yang "disesuaikan". Jalur kejahatan yang khas adalah sebagai berikut:

1. Menghubungi pengguna sebagai "layanan pelanggan resmi"

Penipu menggunakan sistem telepon palsu untuk menyamar sebagai customer service platform, menelepon pengguna dengan menyatakan bahwa "akun mereka mengalami login ilegal" atau "terdapat anomali penarikan", menciptakan suasana mendesak. Mereka kemudian akan mengirimkan email atau SMS phishing yang tampak nyata, yang berisi nomor tiket palsu atau tautan "proses pemulihan", dan mengarahkan pengguna untuk bertindak. Tautan ini mungkin mengarah ke antarmuka platform yang dikloning, bahkan dapat mengirim email yang tampak berasal dari domain resmi, beberapa email menggunakan teknik pengalihan untuk menghindari perlindungan keamanan.

2. Pandu pengguna untuk mengunduh dompet resmi

Penipu akan menggunakan alasan "melindungi aset" untuk mengarahkan pengguna memindahkan dana ke "dompet aman", mereka juga akan membantu pengguna menginstal dompet resmi, dan mengarahkan mereka untuk memindahkan aset yang sebelumnya disimpan di platform ke dompet yang baru dibuat.

3. Mengarahkan pengguna untuk menggunakan frasa pemulihan yang diberikan oleh penipu

Berbeda dengan "eyewash" tradisional, penipu secara langsung menyediakan satu set frase pemulihan yang mereka buat sendiri, menggoda pengguna untuk menggunakannya sebagai "dompet baru resmi".

4. Penipu melakukan pencurian dana

Korban dalam keadaan tegang, cemas, dan mempercayai "customer service" sangat mudah terjebak. Bagi mereka, dompet baru yang "disediakan oleh resmi" tentunya lebih aman dibandingkan dompet lama yang "diduga telah diretas". Akibatnya, begitu dana dipindahkan ke dompet baru ini, penipu dapat segera memindahkannya. "Kunci yang tidak Anda kendalikan, berarti koin yang tidak Anda miliki"—dalam serangan rekayasa sosial, konsep ini kembali dibuktikan dengan cara yang sangat menyakitkan.

Selain itu, beberapa email phishing mengklaim "karena keputusan gugatan kolektif, platform akan sepenuhnya bermigrasi ke dompet yang dikelola sendiri", dan meminta pengguna untuk menyelesaikan migrasi aset sebelum 1 April. Pengguna, di bawah tekanan waktu yang mendesak dan sugesti psikologis dari "perintah resmi", lebih mudah untuk melakukan tindakan.

Menurut peneliti keamanan, serangan-serangan ini sering direncanakan dan dilaksanakan secara terorganisir:

• Rantai alat penipuan yang lengkap: Penipu menggunakan sistem PBX untuk memalsukan nomor panggilan, mensimulasikan panggilan dari layanan pelanggan resmi. Saat mengirim email phishing, mereka akan memanfaatkan robot di platform sosial untuk menyamar sebagai email resmi, menyertakan "panduan pemulihan akun" untuk mengarahkan transfer.
• Target yang tepat: penipu bergantung pada data pengguna yang dicuri yang dibeli dari saluran sosial dan dark web, menargetkan pengguna di AS sebagai target utama, bahkan mereka juga akan menggunakan alat AI untuk memproses data yang dicuri, membagi dan menyusun ulang nomor telepon, menghasilkan file TXT dalam jumlah besar, dan kemudian mengirimkan penipuan SMS menggunakan perangkat lunak peretasan.
• Proses penipuan yang terhubung: dari telepon, SMS hingga email, jalur penipuan biasanya berjalan tanpa hambatan, istilah phishing yang umum termasuk "akun menerima permintaan penarikan", "kata sandi telah direset", "akun mengalami login yang tidak biasa", dan terus-menerus mengarahkan korban untuk melakukan "verifikasi keamanan", hingga transfer dompet selesai.

Analisis Di Dalam Jaringan

Melalui sistem anti pencucian uang dan pelacakan di blockchain, analisis terhadap beberapa alamat penipu menunjukkan bahwa para penipu ini memiliki kemampuan operasional di blockchain yang kuat, berikut adalah beberapa informasi kunci:

Target serangan penipu mencakup berbagai aset yang dimiliki pengguna, dengan waktu aktif alamat-alamat ini terkonsentrasi antara Desember 2024 hingga Mei 2025, dengan aset target utama berupa BTC dan ETH. BTC adalah target penipuan utama saat ini, dengan beberapa alamat meraih keuntungan sekali jalan hingga ratusan BTC, dengan nilai per transaksi mencapai jutaan dolar.

Setelah mendapatkan dana, penipu dengan cepat menggunakan serangkaian proses pencucian untuk menukar dan memindahkan aset, dengan pola utama sebagai berikut:

• Aset jenis ETH sering kali ditukar dengan cepat menjadi stablecoin melalui DEX tertentu, kemudian dipindahkan secara terdistribusi ke beberapa alamat baru, dan sebagian aset masuk ke platform pertukaran terpusat;
• BTC terutama ditransfer ke Ethereum melalui jembatan lintas rantai, kemudian ditukar menjadi stablecoin untuk menghindari risiko pelacakan.

Beberapa alamat penipuan masih dalam keadaan "diam" setelah menerima stablecoin dan belum dipindahkan.

Untuk menghindari interaksi antara alamat Anda dan alamat yang mencurigakan, yang dapat mengakibatkan risiko pembekuan aset, disarankan agar pengguna menggunakan sistem pemantauan dan pelacakan anti pencucian uang di blockchain untuk melakukan deteksi risiko terhadap alamat target sebelum melakukan transaksi, guna secara efektif menghindari ancaman potensial.

Tindakan yang Dihadapi

platform

Saat ini, langkah-langkah keamanan utama lebih banyak berupa perlindungan di "lapisan teknis", sementara penipuan sosial sering kali dapat melewati mekanisme ini, langsung menyerang kelemahan psikologis dan perilaku pengguna. Oleh karena itu, disarankan agar platform mengintegrasikan pendidikan pengguna, pelatihan keamanan, dan desain kegunaan, untuk membangun satu set "pertahanan keamanan yang mengutamakan manusia".

• Pengiriman konten edukasi anti-penipuan secara berkala: Meningkatkan kemampuan pengguna dalam melawan phishing melalui pop-up aplikasi, antarmuka konfirmasi transaksi, email, dan saluran lainnya;
• Mengoptimalkan model pengendalian risiko, memperkenalkan "identifikasi perilaku abnormal interaktif": Sebagian besar penipuan sosial akan mendorong pengguna untuk menyelesaikan serangkaian tindakan dalam waktu singkat (seperti transfer, perubahan daftar putih, pengikatan perangkat, dll.). Platform harus mengidentifikasi kombinasi interaksi yang mencurigakan berdasarkan model rantai perilaku (seperti "interaksi sering + alamat baru + penarikan besar"), memicu periode tenang atau mekanisme tinjauan manual.
• Menstandarkan saluran layanan pelanggan dan mekanisme verifikasi: Penipu sering menyamar sebagai layanan pelanggan untuk membingungkan pengguna, platform harus menyatukan template telepon, SMS, dan email, serta menyediakan "masuk verifikasi layanan pelanggan", untuk menetapkan saluran komunikasi resmi yang unik dan menghindari kebingungan.

pengguna

• Menerapkan kebijakan isolasi identitas: hindari penggunaan email atau nomor ponsel yang sama di berbagai platform, untuk mengurangi risiko keterkaitan. Anda dapat menggunakan alat pemeriksaan kebocoran untuk secara berkala memeriksa apakah email Anda telah bocor.
• Mengaktifkan daftar putih transfer dan mekanisme pendinginan penarikan: menetapkan alamat tepercaya untuk mengurangi risiko kehilangan dana dalam keadaan darurat.
• Terus memantau informasi keamanan: Melalui perusahaan keamanan, media, platform perdagangan, dan saluran lainnya, ketahui perkembangan terbaru tentang metode serangan dan tetap waspada. Saat ini, beberapa lembaga keamanan sedang membangun platform latihan phishing Web3, yang akan mensimulasikan berbagai metode phishing yang khas, termasuk social engineering poisoning, signature phishing, interaksi kontrak jahat, dan akan terus memperbarui konten skenario berdasarkan kasus nyata yang dikumpulkan dari diskusi sejarah. Membantu pengguna meningkatkan kemampuan identifikasi dan respons mereka dalam lingkungan tanpa risiko.
• Perhatikan risiko offline dan perlindungan privasi: Kebocoran informasi pribadi juga dapat memicu masalah keamanan pribadi.

Ini bukanlah khayalan, sejak awal tahun ini, para pelaku/ pengguna crypto telah mengalami beberapa insiden yang mengancam keselamatan pribadi. Mengingat data yang bocor kali ini mencakup nama, alamat, kontak, data akun, foto KTP, dan konten lainnya, pengguna terkait juga perlu meningkatkan kewaspadaan secara offline dan memperhatikan keselamatan.

Singkatnya, tetap skeptis dan terus melakukan verifikasi. Untuk semua operasi mendesak, pastikan untuk meminta pihak lain membuktikan identitas mereka dan memverifikasi secara independen melalui saluran resmi, untuk menghindari membuat keputusan yang tidak dapat diubah di bawah tekanan.

Ringkasan

Peristiwa ini sekali lagi mengungkapkan bahwa menghadapi metode serangan sosial yang semakin matang, industri masih memiliki kekurangan yang jelas dalam perlindungan data pelanggan dan aset. Yang perlu diwaspadai adalah, meskipun posisi terkait di platform tidak memiliki otoritas keuangan, kurangnya kesadaran dan kemampuan keamanan yang memadai juga dapat menyebabkan konsekuensi serius karena kebocoran yang tidak disengaja atau dibujuk. Seiring dengan semakin besarnya ukuran platform, kompleksitas pengendalian keamanan personel juga meningkat, dan telah menjadi salah satu risiko yang paling sulit diatasi di industri. Oleh karena itu, platform tidak hanya harus memperkuat mekanisme keamanan di blockchain, tetapi juga harus secara sistematis membangun "sistem pertahanan sosial" yang mencakup personel internal dan layanan outsourcing, serta memasukkan risiko manusia ke dalam strategi keamanan secara keseluruhan.

Selain itu, begitu serangan ditemukan bukanlah kejadian terisolasi, melainkan ancaman yang terorganisir dan berskala, platform harus merespons dengan cepat, secara proaktif memeriksa potensi kerentanan, mengingatkan pengguna untuk waspada, dan mengendalikan risiko kerusakan. Hanya dengan menghadapi secara ganda dalam aspek teknis dan organisasi, kita dapat benar-benar menjaga kepercayaan dan batasan di lingkungan keamanan yang semakin kompleks.