Seorang pengguna kripto bernama David dengan akun @ReallyBadDay99 di X baru saja melaporkan kehilangan seluruh tabungan seumur hidupnya pada 7 Agustus. Alih-alih diretas lewat eksploitasi kode kontrak pintar yang rumit, David tertipu usai mengklik hasil pencarian berbayar di Google yang meniru identitas Trezor.
Iklan palsu itu mengarahkannya langsung ke halaman phishing. Untuk menambah kesan meyakinkan dan menghindari pemblokiran, peretas menyelenggarakan halaman jebakan mereka di platform tepercaya Google Sites. David kini telah membagikan alamat dompet pelaku kepada penyelidik on-chain ZachXBT dan firma keamanan CertiK. Ia mengklaim bahwa alamat dompet pelaku itu sudah menyedot jutaan dolar dari banyak korban lain yang bernasib sama.
Bersembunyi di Balik Nama Besar
Memanfaatkan layanan yang sudah mapan adalah taktik utama komplotan ini. Dengan menumpang di platform Google Sites, halaman phishing mereka terlihat lebih aman dan sah di mata banyak pengguna. Pengguna yang terbiasa waspada terhadap domain aneh sering kali lengah saat alamat web bernaung di bawah bendera penyedia layanan besar.
Beberapa jam setelah laporan dari David beredar luas, Trezor akhirnya mengeluarkan peringatan resmi kepada seluruh pengguna mereka. Perusahaan dompet perangkat keras itu mengonfirmasi bahwa mereka sedang melihat adanya peningkatan situs web phishing yang dirancang khusus meniru platform mereka.
Trezor memperingatkan bahwa beberapa situs web palsu ini dengan sengaja dipasang agar muncul di deretan atas hasil pencarian berbayar mesin telusur, sehingga tampilannya terlihat meyakinkan bagi pengguna baru maupun lama. Menyikapi hal ini, Trezor kembali menegaskan aturan paling mendasar dalam menyimpan aset digital: “Jangan pernah masukkan backup dompet Anda di website atau bagikan kepada siapapun.”
Taktik Usang yang Terus Menelan Korban
Modus operandi menggunakan iklan mesin pencari untuk merampok aset kripto bukanlah barang baru di industri ini. Pada bulan Mei lalu, metode serupa diterapkan saat serangkaian iklan Uniswap palsu tayang di Google Search. Kampanye jahat itu menguras sedikitnya $400.000 dari sejumlah pengguna yang tidak menyadari bahwa mereka sedang masuk ke situs tiruan.
📌 Baca JugaPencuri Kripto $19 Juta Asyik Pamer Jet Pribadi - Sampai ZachXBT Membongkar Semuanya di X
Jauh sebelum kasus Uniswap, catatan dari Security Alliance juga menunjukkan tren yang mengkhawatirkan. Mereka mendata kerugian sekitar $1,27 juta yang murni bersumber dari klik pada iklan Google berbahaya hanya dalam rentang waktu singkat antara 13-30 Maret.
Bentuk serangan phishing ini juga terus beralih rupa. Kalau sekarang pelaku kejahatan siber agresif memakai iklan digital berbayar, pada bulan Februari lalu para penipu memilih metode konvensional. Mereka mengirimkan surat fisik palsu yang mengatasnamakan Trezor dan Ledger ke alamat rumah pengguna. Surat itu memuat sebuah kode QR yang ujung-ujungnya juga mengarahkan pemindainya menuju situs web phishing.
Kejadian yang menimpa tabungan David memperlihatkan realitas dasar penyimpanan mandiri. Lapis demi lapis pelindung pada perangkat keras paling tangguh sekalipun tidak akan berfungsi jika pemiliknya sendiri yang menyerahkan kunci utamanya di situs palsu. Mengklik iklan mesin telusur kini menuntut tingkat kehati-hatian yang sama tingginya dengan menandatangani transaksi bernilai besar.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
