Pengguna Ethereum Kehilangan $440.358 dalam USDC Setelah Eksploitasi Permit Berbahaya

Sumber: CryptoNewsNet Judul Asli: Pengguna Ethereum Kehilangan $440.358 dalam USDC Setelah Eksploitasi Permit Berbahaya Tautan Asli: Seorang pengguna kripto kehilangan $440.358 dalam USD Coin (USDC) di Ethereum setelah tanpa sadar menyetujui tanda tangan “permit” palsu yang memungkinkan penyerang menguras dompet mereka, seperti yang dikonfirmasi oleh platform keamanan Web3 Scam Sniffer.

Korban yang menggunakan alamat dompet 0x67E8561Ba9d3f4CBe5fEd4C12c95b54f073a0605 menyetujui transaksi berbahaya yang memberikan hak penuh kepada penyerang untuk membelanjakan aset. Scam Sniffer menemukan dana tersebut dikirimkan ke dua alamat berbeda yang diberi label 0xbb4…666f682aF dan 0x6a3aF6…d8F9a00B.

Penyerang Phishing Menandatangani Transfer $440K USDC dari Korban

Menurut data blockchain dari Etherscan, penyerang mengandalkan transaksi “permit”, yaitu jenis tanda tangan yang mentransfer token tanpa memerlukan konfirmasi manual dari pemilik. Meskipun tidak ada uang yang tampak berpindah saat penandatanganan, penyerang dapat mengisi jumlahnya nanti dan mencairkannya tanpa persetujuan lebih lanjut, yang dalam kasus ini sebesar $440.358.

Setelah disetujui, penyerang melakukan beberapa panggilan “transferFrom” menggunakan kontrak FiatTokenProxy, yang menangani transaksi USDC. Sekitar pukul 10 pagi UTC hari Senin, 22.000 USDC dikirim ke akun “Fake Phishing”, $66.06K ke alamat 0xbb4223Ef4cCe93fB40beb62178aBE9A666f682aF, dan $352.3K ke 0x6a3aF6Cb51D52F32D2A0A6716a8EFF99d8F9a00B secara bersamaan.

Scam Sniffer juga melaporkan insiden phishing lain pada 7 November, ketika pengguna lain kehilangan $1,22 juta dalam USDC dan token PlaUSDT0 hanya 30 menit setelah menandatangani pesan permit palsu.

Laporan phishing November dari perusahaan keamanan Web3 ini menunjukkan total kerugian mencapai $7,77 juta, naik 1137% dari $3,28 juta pada Oktober. Meskipun terjadi lonjakan kerugian, jumlah korban menurun 42%, karena November mencatat 6.344 pengguna terdampak, turun 42% dari 10.935 korban pada bulan sebelumnya.

Hampir seminggu lalu, beberapa peretas menggunakan “address poisoning” untuk mencuri 1,1 juta USDT di Ethereum. Menurut CIO Ramiel Capital Kyle Soska, kelompok ini memantau transfer keluar kecil dari dompet whale lalu menggunakan sistem berbasis GPU untuk menghasilkan alamat tiruan yang hampir identik.

“Penyerang dalam kasus ini mengirim transaksi tether bernilai sangat kecil ke korban di on-chain agar alamat tiruan muncul di daftar aktivitas terbaru dompet web3 korban. Korban kemudian secara tidak sengaja memilih alamat ini untuk mengirimkan dana besar,” kata Soska.

Musim Belanja Liburan Dipenuhi Penipuan Peniruan Identitas

Peningkatan phishing terkait kripto terjadi seiring melonjaknya penipuan digital selama musim belanja liburan. Darktrace, perusahaan keamanan siber yang memantau tren phishing konsumen global, melaporkan kenaikan 201% dalam penipuan “peniruan” pengecer besar AS pada minggu menjelang Thanksgiving, dibandingkan minggu yang sama di bulan Oktober.

Email peniru Macy’s, Walmart, dan Target meningkat 54% hanya dalam satu minggu, namun Amazon menjadi perusahaan yang paling sering ditiru secara keseluruhan, menyumbang 80% dari upaya phishing, melebihi merek digital konsumen seperti Apple, Alibaba, dan Netflix.

Pada awal November saja, Kaspersky mendeteksi 146.535 email spam yang mengacu pada diskon musiman, termasuk 2.572 terkait kampanye Singles’ Day. Banyak pesan ini menggunakan template terbukti yang didaur ulang dari tahun-tahun sebelumnya, dengan penipu meniru Amazon, Walmart, dan Alibaba untuk mengiklankan penjualan akses awal yang mengarahkan pengguna ke halaman checkout palsu guna mencuri kredensial dan melakukan persetujuan berbahaya.

Data dari Kaspersky Security Network (KSN) menunjukkan bahwa antara Januari dan Oktober, perusahaan ini memblokir 6.394.854 upaya phishing yang menargetkan toko online, bank, dan sistem pembayaran. Hampir setengah dari upaya ini, 48,2%, secara khusus menargetkan pembeli online.

Dalam periode yang sama, Kaspersky mengidentifikasi lebih dari 20 juta serangan pada platform game, termasuk 18,56 juta yang memanfaatkan Discord, yang menurut perusahaan merupakan titik distribusi file berbahaya yang menyamar sebagai perangkat lunak game.

Platform hiburan juga menjadi target intens, dengan 801.148 upaya phishing bertema Netflix dan 576.873 terkait Spotify yang tercatat pada 2025. Perusahaan juga mendokumentasikan 2.054.336 upaya phishing yang meniru platform game Steam, PlayStation, dan Xbox.

Selain itu, Kaspersky mencatat 20.188.897 percobaan infeksi malware yang menyamar sebagai “perangkat lunak umum”, dengan Discord menyumbang mayoritas sebanyak 18.556.566 deteksi, lebih dari 14 kali lipat insiden yang dilaporkan tahun sebelumnya.