Panduan Perdagangan Aman Web3: Lindungi aset digital Anda

Seiring dengan perkembangan ekosistem blockchain yang terus menerus, transaksi on-chain telah menjadi bagian penting dari operasi sehari-hari pengguna Web3. Semakin banyak aset pengguna yang berpindah dari platform terpusat ke jaringan terdesentralisasi, tren ini juga berarti bahwa tanggung jawab keamanan aset secara bertahap berpindah dari platform ke pengguna itu sendiri. Dalam lingkungan terdesentralisasi, pengguna perlu bertanggung jawab atas setiap langkah operasi, baik itu mengimpor dompet, mengakses aplikasi, atau memberikan tanda tangan dan memulai transaksi, setiap kelalaian dapat menyebabkan risiko keamanan yang serius, seperti kebocoran kunci pribadi, penyalahgunaan otorisasi, atau menjadi korban serangan phishing.

Meskipun saat ini plugin dompet utama dan browser secara bertahap mengintegrasikan fungsi pengenalan risiko dan pemberitahuan, namun menghadapi metode serangan yang semakin kompleks, hanya mengandalkan pertahanan pasif dari alat masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih baik dalam mengidentifikasi risiko potensial dalam transaksi on-chain, para ahli keamanan kami berdasarkan pengalaman praktis, telah merangkum seluruh proses skenario risiko tinggi, dan dikombinasikan dengan saran perlindungan serta kiat penggunaan alat, telah menyusun panduan keamanan transaksi on-chain yang sistematis, yang bertujuan untuk membantu setiap pengguna Web3 membangun "pertahanan yang dapat dikendalikan sendiri".

Prinsip inti dari perdagangan yang aman:

• Tolak tanda tangan buta: Jangan sekali-kali menandatangani transaksi atau pesan yang tidak dipahami.
• Verifikasi berulang: Sebelum melakukan transaksi, pastikan untuk memeriksa keakuratan informasi yang relevan beberapa kali.

Saran Perdagangan Aman

Kunci untuk memastikan keamanan aset digital adalah transaksi yang aman. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan otentikasi ganda (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran spesifik:

• Pilih dompet aman: Gunakan penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras Ledger atau Trezor, atau beberapa dompet perangkat lunak terkenal. Dompet perangkat keras menyediakan fungsi penyimpanan offline, yang dapat mengurangi risiko serangan online, cocok untuk menyimpan aset digital dalam jumlah besar.

• Periksa detail transaksi dengan cermat: Sebelum mengonfirmasi transaksi, pastikan untuk memverifikasi alamat penerima, jumlah, dan jaringan ( serta memastikan menggunakan jaringan blockchain yang benar ), untuk menghindari kerugian akibat kesalahan input.

• Aktifkan otentikasi dua faktor (2FA): Jika platform perdagangan atau dompet mendukung 2FA, pastikan untuk mengaktifkan fitur ini untuk meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Hindari menggunakan Wi-Fi publik: Jangan melakukan transaksi di jaringan Wi-Fi publik untuk mencegah serangan phishing dan serangan man-in-the-middle.

Panduan Operasi Transaksi Aman

Sebuah proses transaksi aplikasi terdesentralisasi yang lengkap (DApp) terdiri dari beberapa tahap: pemasangan dompet, mengakses DApp, menghubungkan dompet, tanda tangan pesan, tanda tangan transaksi, dan pemrosesan pasca transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara bertahap perhatian yang harus diambil dalam operasi nyata.

1. Instal dompet

Saat ini, cara utama penggunaan DApp adalah melalui dompet plugin browser untuk berinteraksi. Dompet utama yang digunakan di Ethereum dan rantai kompatibel termasuk beberapa dompet plugin terkenal.

Saat menginstal dompet plugin peramban, penting untuk memastikan bahwa Anda mengunduh dan menginstalnya dari toko aplikasi resmi, hindari penginstalan dari situs web pihak ketiga, untuk mencegah penginstalan perangkat lunak dompet yang mungkin memiliki pintu belakang. Pengguna yang memungkinkan disarankan untuk menggunakan dompet perangkat keras bersamaan untuk meningkatkan keamanan manajemen kunci pribadi secara keseluruhan.

Saat menginstal kata sandi cadangan dompet, ( biasanya terdiri dari 12-24 kata frasa pemulihan ), disarankan untuk menyimpannya di lokasi offline yang aman, jauh dari perangkat digital (, misalnya, ditulis di kertas dan disimpan di brankas ).

2. Akses DApp

Phishing web adalah metode umum dalam serangan Web3. Kasus tipikalnya adalah mengundang pengguna untuk mengunjungi aplikasi phishing dengan dalih airdrop, setelah pengguna menghubungkan dompet mereka, mereka dipancing untuk menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses DApp, pengguna perlu tetap waspada untuk menghindari terjebak dalam jebakan phishing web.

Sebelum mengakses DApp, pastikan keakuratan alamat situs web. Saran:

• Hindari mengakses langsung melalui mesin pencari: Penyerang phishing mungkin membeli tempat iklan untuk membuat situs phishing mereka muncul di peringkat teratas.
• Hindari mengklik tautan di media sosial: URL yang diposting dalam komentar atau pesan mungkin merupakan tautan phishing.
• Periksa kembali kebenaran URL DApp: dapat memverifikasi melalui platform data DApp yang terpercaya, akun media sosial resmi proyek, dan sumber lainnya.
• Tambahkan situs web aman ke favorit browser: akses langsung dari favorit di kemudian hari.

Setelah membuka halaman web DApp, perlu juga melakukan pemeriksaan keamanan pada bilah alamat:

• Periksa apakah nama domain dan URL terlihat seperti palsu.
• Periksa apakah itu tautan HTTPS, browser harus menampilkan ikon kunci 🔒.

Saat ini, dompet plugin utama di pasaran juga telah mengintegrasikan beberapa fungsi peringatan risiko, yang dapat menampilkan peringatan kuat saat mengakses situs web yang berisiko.

3. Sambungkan Dompet

Setelah memasuki DApp, mungkin akan secara otomatis atau setelah mengklik Connect akan memicu operasi menghubungkan dompet. Dompet plugin akan melakukan beberapa pemeriksaan dan menampilkan informasi terkait DApp saat ini.

Setelah menghubungkan dompet, biasanya DApp tidak akan secara aktif memanggil dompet plugin jika pengguna tidak melakukan tindakan lain. Jika situs web sering memanggil dompet untuk meminta tanda tangan pesan, menandatangani transaksi, bahkan setelah menolak tanda tangan, maka kemungkinan besar itu adalah situs phishing, dan perlu ditangani dengan hati-hati.

4. Tanda tangan pesan

Dalam keadaan ekstrem, seperti ketika penyerang berhasil menyusup ke situs resmi protokol atau melakukan serangan seperti peretasan frontend dan mengganti konten halaman. Pengguna biasa sangat sulit untuk menilai keamanan situs web dalam skenario seperti ini.

Pada saat ini, tanda tangan dompet plugin adalah penghalang terakhir bagi pengguna untuk melindungi aset digital mereka. Selama menolak tanda tangan jahat, mereka dapat memastikan aset digital mereka tidak mengalami kerugian. Pengguna harus memeriksa dengan cermat isi tanda tangan saat menandatangani pesan dan transaksi apa pun, dan menolak tanda tangan buta, untuk menghindari kehilangan aset.

Jenis tanda tangan yang umum termasuk:

• eth_sign: Menandatangani data hash.
• personal_sign: Menandatangani informasi plaintext, paling umum digunakan saat verifikasi login pengguna atau konfirmasi perjanjian izin.
• eth_signTypedData(EIP-712): untuk tanda tangan data terstruktur, biasanya digunakan untuk Permit ERC20, penawaran NFT, dan sebagainya.

5. Tanda tangan transaksi

Tanda tangan transaksi digunakan untuk mengotorisasi transaksi blockchain, seperti transfer atau pemanggilan kontrak pintar. Pengguna menandatangani dengan kunci pribadi, jaringan memverifikasi keabsahan transaksi. Saat ini banyak dompet plugin akan mendekode pesan yang akan ditandatangani dan menampilkan konten terkait, pastikan untuk mengikuti prinsip tidak menandatangani secara buta, saran keamanan:

• Periksa dengan cermat alamat penerima, jumlah, dan jaringan untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menggunakan tanda tangan offline, untuk mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, hindari penipuan.

Untuk pengguna yang memiliki cadangan teknologi tertentu, mereka juga dapat menggunakan beberapa metode pemeriksaan manual yang umum: dengan menyalin alamat kontrak interaksi target ke dalam penjelajah blockchain untuk diperiksa, konten yang diperiksa terutama mencakup apakah kontrak tersebut open source, apakah baru-baru ini terdapat banyak transaksi, dan apakah penjelajah memberikan label resmi atau label jahat pada alamat tersebut.

6. Pemrosesan setelah transaksi

Menghindari halaman phishing dan tanda tangan berbahaya tidak berarti semua baik-baik saja, manajemen risiko tetap diperlukan setelah transaksi.

Setelah transaksi, sebaiknya segera memeriksa kondisi on-chain dari transaksi tersebut, untuk memastikan apakah statusnya sesuai dengan yang diharapkan saat penandatanganan. Jika ada anomali, segera lakukan tindakan mitigasi seperti pemindahan aset, pencabutan otorisasi, dan lain-lain.

Manajemen persetujuan ERC20 juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token untuk kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan kuota otorisasi token dari kontrak yang diserang untuk mencuri dana pengguna. Untuk menghindari situasi seperti itu, tim keamanan kami menyarankan pengguna untuk mengikuti standar berikut untuk pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, otorisasi jumlah token yang sesuai harus dibatasi sesuai dengan kebutuhan transaksi. Jika suatu transaksi memerlukan otorisasi 100 USDT, maka jumlah otorisasi kali ini dibatasi pada 100 USDT, dan jangan menggunakan otorisasi default yang tidak terbatas.
• Segera mencabut otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke beberapa alat manajemen otorisasi untuk memeriksa status otorisasi alamat yang sesuai, mencabut otorisasi dari protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah adanya celah yang dapat dimanfaatkan oleh protokol dan menyebabkan kerugian aset akibat penggunaan kuota otorisasi pengguna.

Strategi Pemisahan Dana

Dengan kesadaran akan risiko dan melakukan pencegahan risiko yang memadai, juga disarankan untuk melakukan pemisahan dana yang efektif, agar dalam keadaan ekstrem dapat mengurangi tingkat kerugian dana. Strategi yang direkomendasikan adalah sebagai berikut:

• Menggunakan dompet multisig atau dompet dingin untuk menyimpan aset digital dalam jumlah besar;
• Gunakan dompet plugin atau dompet EOA sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala ganti alamat dompet panas, untuk mencegah alamat terus terpapar pada lingkungan berisiko.

Jika tidak sengaja mengalami situasi phishing, kami menyarankan untuk segera melakukan langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat manajemen otorisasi untuk membatalkan otorisasi berisiko tinggi;
• Jika telah menandatangani tanda tangan permit tetapi aset belum dipindahkan, dapat segera memulai tanda tangan baru untuk membuat nonce tanda tangan lama tidak berlaku;
• Jika perlu, segera pindahkan aset yang tersisa ke alamat baru atau dompet dingin.

Berpartisipasi Aman dalam Aktivitas Airdrop

Airdrop adalah cara umum untuk mempromosikan proyek blockchain, tetapi juga menyimpan risiko. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki whitepaper yang jelas, informasi tim yang terbuka, dan reputasi komunitas;
• Gunakan alamat khusus: daftar dompet dan email khusus, isolasi risiko akun utama;
• Hati-hati klik tautan: hanya dapatkan informasi airdrop melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Saran Pemilihan dan Penggunaan Alat Plugin

Ada banyak konten dalam kode etik keamanan blockchain, mungkin tidak setiap interaksi dapat dilakukan pemeriksaan yang mendetail. Memilih plugin yang aman sangat penting, dapat membantu kita dalam membuat penilaian risiko. Berikut adalah saran spesifik:

• Ekstensi yang tepercaya: Gunakan ekstensi browser yang banyak digunakan seperti beberapa plugin dompet terkenal. Plugin ini menyediakan fungsi dompet dan mendukung interaksi DApp.
• Cek peringkat: Sebelum menginstal plugin baru, periksa peringkat pengguna dan jumlah instalasi. Peringkat tinggi dan banyak instalasi biasanya menunjukkan bahwa plugin lebih dapat diandalkan, mengurangi risiko kode berbahaya.
• Jaga agar tetap diperbarui: Perbarui plugin Anda secara berkala untuk mendapatkan fitur keamanan dan perbaikan terbaru. Plugin yang kadaluarsa mungkin mengandung kerentanan yang diketahui, yang mudah dieksploitasi oleh penyerang.

Penutup

Dengan mengikuti panduan transaksi aman di atas, pengguna dapat berinteraksi dengan lebih tenang di ekosistem blockchain yang semakin kompleks, secara nyata meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti berupa desentralisasi dan transparansi, ini juga berarti bahwa pengguna harus secara mandiri menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci pribadi, dan aplikasi berbahaya.

Untuk mencapai keamanan yang sebenarnya saat mengunggah ke blockchain, hanya mengandalkan alat peringatan jauh dari cukup; membangun kesadaran keamanan yang sistematis dan kebiasaan operasional adalah kunci. Dengan menggunakan dompet perangkat keras, menerapkan strategi pemisahan dana, secara berkala memeriksa otorisasi dan memperbarui plugin, serta menerapkan prinsip "verifikasi ganda, menolak tanda tangan buta, pemisahan dana" dalam operasi transaksi, barulah kita dapat benar-benar mencapai "unggah ke blockchain dengan bebas dan aman".