Panduan Keamanan Transaksi Web3: Lindungi Aset Digital Anda

Seiring dengan perkembangan ekosistem blockchain yang terus berlanjut, transaksi on-chain telah menjadi bagian yang tak terpisahkan dari kehidupan sehari-hari pengguna Web3. Semakin banyak pengguna yang memindahkan aset dari platform terpusat ke jaringan terdesentralisasi, tren ini berarti tanggung jawab keamanan aset secara bertahap berpindah dari platform ke pengguna itu sendiri. Dalam lingkungan blockchain, pengguna perlu bertanggung jawab atas setiap langkah operasi, baik itu mengimpor dompet, mengakses aplikasi terdesentralisasi, atau menandatangani otorisasi dan memulai transaksi, kesalahan dalam melakukan operasi dapat memicu risiko keamanan, yang dapat mengakibatkan kebocoran kunci pribadi, penyalahgunaan otorisasi, atau menghadapi serangan phishing dan konsekuensi serius lainnya.

Meskipun saat ini plugin dompet utama dan browser secara bertahap mengintegrasikan fungsi seperti pengenalan phishing dan peringatan risiko, menghadapi teknik serangan yang semakin kompleks, bergantung pada pertahanan pasif alat masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih jelas dalam mengidentifikasi risiko potensial dalam transaksi di blockchain, artikel ini berdasarkan pengalaman praktis, merangkum skenario risiko tinggi sepanjang proses, dan menggabungkan saran perlindungan serta keterampilan penggunaan alat, telah menyusun panduan keamanan transaksi di blockchain yang sistematis, bertujuan untuk membantu setiap pengguna Web3 membangun "pertahanan yang dapat dikendalikan sendiri".

Pedoman inti untuk perdagangan yang aman:

• Tolak tanda tangan buta: Jangan tanda tangan untuk transaksi atau pesan yang tidak dipahami.
• Verifikasi berulang: Sebelum melakukan transaksi apa pun, pastikan untuk memverifikasi keakuratan informasi terkait beberapa kali.

Saran Perdagangan Aman

Transaksi yang aman adalah kunci untuk melindungi aset digital. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan verifikasi dua langkah (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran konkret:

• Menggunakan dompet yang aman: Pilih penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras atau dompet perangkat lunak yang terpercaya. Dompet perangkat keras menyediakan penyimpanan offline, mengurangi risiko serangan online, dan cocok untuk menyimpan aset digital dalam jumlah besar.

• Periksa kembali detail transaksi: Sebelum mengonfirmasi transaksi, pastikan untuk memverifikasi alamat penerima, jumlah, dan jaringan ( seperti Ethereum atau BNB Chain lainnya ), untuk menghindari kerugian akibat kesalahan input.

• Aktifkan verifikasi dua langkah(2FA): Jika platform perdagangan atau dompet mendukung 2FA, pastikan untuk mengaktifkannya untuk meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Hindari menggunakan Wi-Fi publik: Jangan melakukan transaksi di jaringan Wi-Fi publik untuk mencegah serangan phishing dan serangan man-in-the-middle.

Cara Melakukan Transaksi Aman

Sebuah proses transaksi aplikasi terdesentralisasi yang lengkap terdiri dari beberapa tahap: pemasangan dompet, mengakses aplikasi, menghubungkan dompet, tanda tangan pesan, tanda tangan transaksi, dan pemrosesan setelah transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara berurutan hal-hal yang perlu diperhatikan dalam praktik.

1. Instal dompet

Saat ini, cara penggunaan utama aplikasi terdesentralisasi adalah melalui dompet plugin browser untuk berinteraksi. Dompet utama yang digunakan oleh rantai yang kompatibel dengan Ethereum Virtual Machine termasuk MetaMask dan lainnya.

Saat menginstal dompet ekstensi Chrome, perlu dipastikan untuk mengunduh dan menginstal dari Toko Aplikasi Chrome, untuk menghindari instalasi dari situs pihak ketiga guna mencegah pemasangan perangkat lunak dompet yang memiliki backdoor. Pengguna yang memiliki syarat disarankan untuk menggunakan dompet perangkat keras sebagai tambahan untuk meningkatkan keamanan keseluruhan dalam penyimpanan kunci pribadi.

Saat menginstal frasa pemulihan cadangan dompet, ( biasanya terdiri dari 12-24 kata frasa pemulihan ). Disarankan untuk menyimpannya di tempat yang aman, jauh dari perangkat digital (, misalnya, menuliskannya di kertas dan menyimpannya di brankas ).

2. Akses aplikasi terdesentralisasi

Phishing web adalah metode umum dalam serangan Web3. Kasus tipikal adalah memancing pengguna untuk mengunjungi aplikasi phishing dengan dalih airdrop, setelah pengguna menghubungkan dompet, mereka dipancing untuk menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses aplikasi terdesentralisasi, pengguna perlu tetap waspada untuk menghindari terjebak dalam jebakan phishing situs web.

Sebelum mengakses aplikasi, pastikan untuk memverifikasi keakuratan URL. Saran:

• Hindari mengakses langsung melalui mesin pencari: Penyerang phishing mungkin membeli ruang iklan untuk membuat situs phishing mereka muncul lebih tinggi dalam peringkat.
• Hindari mengklik tautan di media sosial: URL yang diposting dalam komentar atau pesan mungkin merupakan tautan phishing.
• Konfirmasi kembali keakuratan URL aplikasi: dapat memeriksa melalui pasar aplikasi terdesentralisasi, akun media sosial resmi proyek, dan sumber lainnya.
• Tambahkan situs web aman ke favorit browser: Akses langsung dari favorit di masa mendatang.

Setelah membuka halaman aplikasi, perlu juga melakukan pemeriksaan keamanan pada bilah alamat:

• Periksa apakah nama domain dan URL terlihat menyerupai palsu.
• Periksa apakah itu tautan HTTPS, browser harus menampilkan ikon kunci.

Saat ini, dompet plugin utama di pasar juga telah mengintegrasikan fungsi peringatan risiko tertentu, yang dapat menampilkan peringatan kuat saat mengakses situs web berisiko.

3. Hubungkan dompet

Setelah memasuki aplikasi, mungkin akan secara otomatis atau setelah mengklik Connect secara aktif memicu operasi menghubungkan dompet. Dompet plugin akan melakukan beberapa pemeriksaan, menampilkan informasi, dll. untuk aplikasi saat ini.

Setelah menghubungkan dompet, biasanya aplikasi tidak akan secara aktif memanggil dompet plugin saat pengguna tidak melakukan operasi lain. Jika situs web sering memanggil dompet untuk meminta tanda tangan pesan, menandatangani transaksi, bahkan setelah menolak tanda tangan, dan terus-menerus muncul permintaan tanda tangan, maka kemungkinan besar itu adalah situs phishing, yang perlu ditangani dengan hati-hati.

4. Tanda tangan pesan

Dalam situasi ekstrem, seperti ketika penyerang menyerang situs resmi protokol atau melakukan serangan seperti peretasan frontend, konten halaman telah diganti. Pengguna biasa sangat sulit untuk menilai keamanan situs web dalam skenario seperti ini.

Pada saat ini, tanda tangan dompet plugin adalah penghalang terakhir bagi pengguna untuk menyimpan aset digital mereka. Selama menolak tanda tangan jahat, mereka dapat melindungi aset digital mereka dari kerugian. Pengguna harus dengan cermat memeriksa konten tanda tangan saat menandatangani pesan dan transaksi apa pun, menolak tanda tangan buta, untuk menghindari kerugian aset.

Jenis tanda tangan yang umum termasuk:

• eth_sign: Tanda tangan data hash.
• personal_sign: Menandatangani informasi dalam bentuk teks biasa, yang paling umum terjadi saat verifikasi login pengguna atau konfirmasi perjanjian izin.
• eth_signTypedData(EIP-712): untuk menandatangani data terstruktur, sering digunakan untuk Permit ERC20, listing NFT, dan lainnya.

5. Tanda tangan transaksi

Tanda tangan transaksi digunakan untuk mengotorisasi transaksi blockchain, seperti transfer atau pemanggilan kontrak pintar. Pengguna menandatangani dengan kunci privat, jaringan memverifikasi keabsahan transaksi. Saat ini, banyak dompet plugin akan mendekode pesan yang akan ditandatangani dan menampilkan konten terkait, pastikan untuk mengikuti prinsip tidak menandatangani secara buta, saran keamanan:

• Periksa dengan cermat alamat penerima, jumlah, dan jaringan untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menggunakan tanda tangan offline, mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, hindari penipuan.

Untuk pengguna yang memiliki cadangan teknologi tertentu, juga dapat menggunakan beberapa metode pemeriksaan manual yang umum: dengan menyalin alamat kontrak tujuan interaksi ke dalam penjelajah blockchain untuk diperiksa, konten pemeriksaan terutama mencakup apakah kontrak tersebut open source, apakah ada banyak transaksi baru-baru ini, dan apakah penjelajah blockchain memberi label resmi atau label berbahaya pada alamat tersebut.

6. Pemrosesan setelah transaksi

Menghindari halaman phishing dan tanda tangan berbahaya tidak berarti semuanya aman, manajemen risiko tetap diperlukan setelah transaksi.

Setelah transaksi, sebaiknya segera memeriksa status on-chain dari transaksi tersebut, memastikan apakah sesuai dengan status yang diharapkan saat penandatanganan. Jika menemukan keanehan, segera lakukan tindakan mitigasi seperti pemindahan aset, pencabutan otorisasi, dan lain-lain.

Manajemen persetujuan ERC20 juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token untuk kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan kuota otorisasi token dari kontrak yang diserang untuk mencuri dana pengguna. Untuk menghindari situasi seperti ini, kami menyarankan pengguna untuk mengikuti standar berikut dalam melakukan pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, jumlah token yang diotorisasi harus dibatasi sesuai dengan kebutuhan transaksi. Jika suatu transaksi membutuhkan otorisasi 100 USDT, maka jumlah otorisasi kali ini dibatasi pada 100 USDT, dan jangan menggunakan otorisasi tanpa batas secara default.
• Segera mencabut otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke alat manajemen otorisasi untuk memeriksa status otorisasi alamat terkait, mencabut otorisasi dari protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah adanya celah pada protokol yang dapat menyebabkan kerugian aset akibat pemanfaatan kuota otorisasi pengguna.

Strategi Pemisahan Dana

Dalam kondisi kesadaran risiko dan setelah melakukan pencegahan risiko yang memadai, juga disarankan untuk melakukan pemisahan dana yang efektif, agar dapat mengurangi tingkat kerugian dana dalam situasi ekstrem. Strategi yang direkomendasikan adalah sebagai berikut:

• Gunakan dompet multi-tanda tangan atau dompet dingin untuk menyimpan aset digital dalam jumlah besar;
• Gunakan dompet plugin atau dompet biasa sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala mengganti alamat dompet panas, untuk mencegah alamat terus terpapar di lingkungan berisiko.

Jika secara tidak sengaja terjadi situasi phishing, kami sarankan untuk segera melakukan langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat manajemen otorisasi untuk membatalkan otorisasi berisiko tinggi;
• Jika telah menandatangani tanda tangan permit tetapi aset belum dipindahkan, Anda dapat segera mengajukan tanda tangan baru untuk membuat nonce tanda tangan lama tidak berlaku;
• Jika perlu, cepat transfer aset yang tersisa ke alamat baru atau dompet dingin.

Cara Berpartisipasi dengan Aman dalam Kegiatan Airdrop

Airdrop adalah cara umum untuk mempromosikan proyek blockchain, tetapi juga menyimpan risiko. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki buku putih yang jelas, informasi tim yang terbuka, dan reputasi komunitas;
• Menggunakan alamat khusus: mendaftar dompet dan email khusus, mengisolasi risiko akun utama;
• Hati-hati mengklik tautan: hanya dapatkan informasi airdrop melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Rekomendasi Pemilihan dan Penggunaan Alat Plugin

Ada banyak konten dalam kode etik keamanan blockchain, mungkin tidak setiap interaksi dapat dilakukan pemeriksaan yang teliti, pemilihan plugin yang aman sangat penting, dapat membantu kita dalam membuat penilaian risiko, berikut adalah saran konkret:

• Ekstensi yang dipercaya: Gunakan ekstensi browser yang umum digunakan seperti MetaMask( untuk ekosistem Ethereum). Ekstensi ini menyediakan fungsi dompet dan mendukung interaksi dengan aplikasi terdesentralisasi.
• Periksa peringkat: Sebelum menginstal plugin baru, periksa peringkat pengguna dan jumlah instalasi. Peringkat tinggi dan banyak instalasi biasanya menunjukkan bahwa plugin tersebut lebih dapat diandalkan, mengurangi risiko kode berbahaya.
• Tetap diperbarui: Perbarui plugin Anda secara berkala untuk mendapatkan fitur keamanan dan perbaikan terbaru. Plugin yang kadaluwarsa mungkin mengandung kerentanan yang diketahui, yang dapat dimanfaatkan oleh penyerang.

Kesimpulan

Dengan mengikuti panduan perdagangan aman di atas, pengguna dapat berinteraksi dengan lebih percaya diri dalam ekosistem blockchain yang semakin kompleks, secara nyata meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti berupa desentralisasi dan transparansi, hal ini juga berarti pengguna harus secara mandiri menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci pribadi, dan aplikasi jahat.

Untuk mencapai keamanan yang sejati dalam mengintegrasikan ke dalam blockchain, hanya mengandalkan alat pengingat tidaklah cukup. Membangun kesadaran dan kebiasaan operasional yang sistematis mengenai keamanan adalah kunci. Dengan menggunakan dompet keras, menerapkan strategi pemisahan dana, secara berkala memeriksa izin dan memperbarui plugin, serta menerapkan prinsip "verifikasi ganda, menolak tanda tangan buta, pemisahan dana" dalam operasi perdagangan, baru kita dapat benar-benar mencapai "integrasi ke dalam blockchain dengan bebas dan aman".