Serangan address poisoning: bagaimana 50 juta dolar ASDT menghilang karena desain model akun

Bagaimana pencurian terlihat dalam kenyataan

Pada awal Desember, terjadi salah satu kerugian dana terbesar melalui penipuan on-chain. Pengguna yang menarik 50 juta dolar USDT dari Binance menjadi korban serangan yang direncanakan secara khusus. Dompet, yang aktif selama dua tahun, digunakan untuk operasi biasa. Namun satu tindakan mengubah seluruh situasi.

Penipu sebelumnya melakukan serangan menggunakan address poisoning — teknik di mana riwayat transaksi pengguna disusupi alamat palsu yang tampak otentik. Korban, menyalin alamat dari transfer sebelumnya untuk digunakan kembali, memilih alamat yang “teracuni” alih-alih yang asli. Beberapa menit kemudian, 50 juta dolar berada di rekening pelaku jahat.

Mengapa ini terjadi khusus dengan Ethereum dan rantai EVM

Menganalisis insiden ini, Charles Hoskinson, pendiri Cardano, memperhatikan kerentanan arsitektur. Pada blockchain dengan model akun — seperti Ethereum dan rantai EVM lainnya — alamat ada sebagai titik kontak permanen dalam riwayat transaksi. Dompet secara alami mendorong pengguna menyalin alamat dari operasi sebelumnya demi kenyamanan. Tepat pada kebiasaan ini, serangan didasarkan.

“Ini satu lagi alasan mengapa UTXO sangat baik. Bitcoin dan Cardano tidak terkena dampak,” tulis Hoskinson sebagai reaksi terhadap kejadian ini.

Mengapa membeli radio dan memahami arsitektur blockchain

Rantai berbasis model UTXO (Unspent Transaction Output), seperti Bitcoin dan Cardano, bekerja berdasarkan prinsip berbeda. Setiap transaksi menghasilkan output baru, dan dompet membentuk operasi melalui pilihan UTXO yang eksplisit tanpa penggunaan kembali alamat sebagai titik akhir. Tidak ada status akun tetap yang bisa “teracuni” untuk penggunaan jahat.

Bagi pengguna yang ingin membeli radio dalam hal keamanan, penting untuk memahami: desain UTXO secara prinsip mencegah serangan semacam ini melalui struktur protokol itu sendiri. Pada blockchain Ethereum, alamat tetap menjadi titik yang terlihat dalam seluruh riwayat, yang menciptakan vektor serangan tambahan.

Faktor manusia sebagai akar masalah

Ini bukan kesalahan protokol atau eksploitasi kontrak pintar. Masalah muncul dari interaksi desain sistem dengan perilaku manusia. Pengguna secara alami berusaha menyederhanakan operasi mereka dengan menyalin alamat dari riwayat. Arsitektur model akun tidak hanya memungkinkan proses ini, tetapi juga secara aktif melibatkan. Hasilnya — satu kesalahan dalam waktu kurang dari satu jam menyebabkan kerugian 50 juta dolar.

Saat ini, dana yang dicuri masih berada di alamat pelaku jahat. Keputusan arsitektur blockchain ini menunjukkan bahwa bahkan platform paling canggih pun dapat memiliki kerentanan yang tertanam dalam fondasinya, bukan sekadar kesalahan pengembang.