Tips Menghindari Hacker di Kripto

Keamanan merupakan salah satu tanggung jawab terbesar ketika menggunakan aset kripto. Transaksi blockchain umumnya tidak dapat dibatalkan setelah dikonfirmasi. Ketika aset telah dikirim ke alamat penyerang, peluang pemulihannya sering kali sangat terbatas.

Serangan terhadap pengguna kripto juga tidak selalu dilakukan dengan membobol blockchain. Pelaku lebih sering menargetkan kelemahan di sekitar pengguna, seperti password yang digunakan berulang, perangkat yang terinfeksi malware, situs phishing, seed phrase yang tersimpan secara digital, atau persetujuan smart contract yang diberikan tanpa pemeriksaan.

Karena itu, perlindungan aset kripto membutuhkan beberapa lapisan keamanan. Pengguna perlu menjaga akun exchange, wallet, perangkat, identitas digital, dan proses transaksi secara bersamaan.

Key Takeaways

• Jangan pernah memberikan seed phrase atau private key kepada siapa pun.
• Gunakan password unik dan aktifkan autentikasi multifaktor pada akun kripto.
• Periksa domain, alamat wallet, jaringan, dan detail transaksi sebelum memberikan persetujuan.
• Pisahkan aset berdasarkan fungsi: dana trading, penyimpanan jangka panjang, dan aktivitas on-chain.
• Hindari menghubungkan wallet utama ke aplikasi yang belum diverifikasi.
• Segera pindahkan aset dan mengamankan akun lain jika terdapat tanda-tanda kompromi.

Bagaimana Hacker Menargetkan Pengguna Kripto?

Istilah “hacker” sering digunakan untuk menggambarkan seluruh bentuk pencurian aset digital. Dalam praktiknya, banyak serangan kripto menggunakan manipulasi psikologis dan kesalahan pengguna, bukan eksploitasi teknis yang rumit.

Pelaku dapat menyamar sebagai customer support, pengembang proyek, influencer, teman, recruiter, atau perwakilan exchange. Mereka mencoba menciptakan rasa takut, urgensi, atau peluang besar agar korban mengambil keputusan tanpa memeriksa informasi.

Beberapa modus yang umum meliputi:

• Situs exchange atau wallet palsu.
• Airdrop dan giveaway palsu.
• Pesan customer support palsu.
• Aplikasi wallet tidak resmi.
• File atau ekstensi browser berbahaya.
• Tawaran investasi dengan keuntungan terjamin.
• Permintaan untuk memindahkan aset ke “safe wallet.”
• Smart contract yang meminta izin akses berlebihan.
• Address poisoning yang menggunakan alamat menyerupai alamat tujuan sebelumnya.

Lembaga keamanan siber dan penegak hukum juga menekankan bahwa pengguna tidak boleh membagikan private key atau seed phrase, mengklik tautan dari pesan yang tidak diminta, maupun mempercayai pihak yang menjanjikan keuntungan besar dan pasti. (Consumer Advice)

1. Jangan Pernah Membagikan Seed Phrase dan Private Key

Seed phrase adalah rangkaian kata yang digunakan untuk memulihkan akses ke wallet. Private key merupakan kunci kriptografi yang digunakan untuk mengendalikan aset dan menandatangani transaksi.

Siapa pun yang memiliki salah satu informasi tersebut dapat memperoleh kendali atas wallet. Tidak diperlukan akses ke perangkat asli, email, atau nomor telepon pemilik.

Seed phrase tidak boleh diberikan kepada:

• Customer support.
• Admin komunitas.
• Pengembang proyek.
• Teman atau rekan kerja.
• Situs yang mengklaim dapat memperbaiki wallet.
• Formulir airdrop.
• Bot Telegram atau Discord.
• Aplikasi yang tidak terverifikasi.

Layanan resmi tidak akan meminta seed phrase melalui email, pesan pribadi, telepon, atau formulir online. Jika ada pihak yang memintanya, anggap wallet sedang menjadi sasaran penipuan.

Seed phrase juga sebaiknya tidak difoto, disimpan di cloud, dikirim melalui aplikasi pesan, atau dicatat dalam file digital biasa. File tersebut dapat dicuri jika akun cloud atau perangkat mengalami kompromi.

2. Gunakan Password yang Unik untuk Setiap Akun

Menggunakan satu password untuk exchange, email, media sosial, dan layanan lain menciptakan risiko besar. Jika satu platform mengalami kebocoran data, pelaku dapat mencoba kombinasi email dan password yang sama pada akun lainnya.

Praktik tersebut dikenal sebagai credential stuffing.

Password yang lebih aman sebaiknya:

• Panjang.
• Tidak menggunakan informasi pribadi.
• Berbeda untuk setiap akun.
• Tidak terdiri dari pola yang mudah ditebak.
• Disimpan melalui password manager tepercaya.

Password manager membantu membuat dan menyimpan password unik tanpa mengharuskan pengguna mengingat semuanya. Akun password manager tetap perlu dilindungi dengan password utama yang kuat dan autentikasi tambahan.

CISA merekomendasikan penggunaan password yang panjang, acak, unik, serta bantuan password manager untuk mengurangi risiko penggunaan ulang kredensial. (CISA)

3. Aktifkan Autentikasi Multifaktor

Autentikasi multifaktor atau MFA menambahkan lapisan verifikasi selain password. Walaupun password berhasil dicuri, pelaku masih membutuhkan faktor tambahan untuk masuk ke akun.

Beberapa metode autentikasi meliputi:

• Aplikasi authenticator.
• Hardware security key.
• Passkey.
• Biometrik.
• Kode melalui SMS.

Untuk akun yang menyimpan aset atau dapat digunakan menarik dana, metode berbasis hardware security key atau passkey umumnya memberikan perlindungan lebih kuat terhadap phishing dibandingkan kode yang dimasukkan secara manual.

Kode SMS tetap lebih baik daripada hanya menggunakan password, tetapi memiliki risiko seperti SIM swap. Kode OTP dari aplikasi authenticator juga dapat dicuri melalui phishing real-time apabila pengguna memasukkannya ke situs palsu.

NIST menjelaskan bahwa MFA meningkatkan keamanan dengan mengharuskan lebih dari satu faktor identitas. Panduan terbarunya juga membedakan autentikasi kriptografis yang tahan phishing dari OTP yang dimasukkan secara manual. (NIST)

4. Lindungi Email yang Terhubung ke Akun Kripto

Email sering menjadi pintu utama untuk mereset password, menerima kode keamanan, dan mengonfirmasi penarikan. Jika email diretas, pelaku dapat mencoba mengambil alih akun exchange dan layanan lain yang terhubung.

Gunakan alamat email khusus untuk aktivitas keuangan atau kripto. Hindari mempublikasikan alamat tersebut di media sosial atau forum.

Akun email sebaiknya dilindungi dengan:

• Password unik.
• MFA atau passkey.
• Recovery email yang aman.
• Pemeriksaan perangkat yang sedang login.
• Notifikasi keamanan.
• Penghapusan metode pemulihan yang sudah tidak digunakan.

Periksa juga aturan forwarding email. Penyerang yang telah memperoleh akses dapat membuat aturan tersembunyi untuk meneruskan atau menghapus pesan keamanan.

5. Waspadai Situs dan Pesan Phishing

Phishing adalah upaya membuat pengguna percaya bahwa mereka sedang berinteraksi dengan layanan resmi. Situs palsu dapat meniru tampilan exchange, wallet, marketplace NFT, atau protokol DeFi dengan sangat mirip.

Tanda-tanda phishing dapat berupa:

• Domain memiliki satu karakter berbeda.
• Pesan menciptakan rasa panik atau urgensi.
• Pengguna diminta memasukkan seed phrase.
• Terdapat hadiah yang harus segera diklaim.
• Akun disebut akan diblokir jika tidak bertindak.
• Pesan berasal dari akun baru atau nama yang menyerupai akun resmi.
• File atau aplikasi harus diunduh dari tautan tertentu.

Jangan masuk ke exchange atau wallet melalui tautan dari email, iklan, Telegram, Discord, atau pesan pribadi. Ketik alamat situs secara manual atau gunakan bookmark yang telah diverifikasi.

FTC pernah memperingatkan modus email palsu yang mengatasnamakan layanan wallet dan pembayaran dengan klaim bahwa akun akan diblokir jika pengguna tidak segera membuka tautan. (Consumer Advice)

6. Unduh Aplikasi dari Sumber Resmi

Aplikasi wallet, exchange, atau perangkat keamanan palsu dapat dibuat menyerupai aplikasi asli. Setelah dipasang, aplikasi tersebut dapat mencuri kredensial, seed phrase, atau mengganti alamat tujuan transaksi.

Sebelum memasang aplikasi:

• Buka situs resmi proyek secara manual.
• Periksa nama pengembang.
• Periksa riwayat pembaruan.
• Hindari file APK dari grup atau pesan pribadi.
• Jangan memasang software bajakan.
• Periksa izin yang diminta aplikasi.
• Hapus ekstensi browser yang tidak diperlukan.

Waspadai pula file converter gratis, software trading palsu, template, game, dan file pekerjaan yang meminta instalasi tambahan. File yang tampak tidak berhubungan dengan kripto tetap dapat membawa malware pencuri data.

7. Perbarui Sistem Operasi dan Aplikasi

Perangkat lunak yang tidak diperbarui dapat memiliki celah keamanan yang sudah diketahui publik. Pelaku dapat mengeksploitasi celah tersebut untuk mengambil alih perangkat atau mencuri informasi.

Perbarui secara rutin:

• Sistem operasi.
• Browser.
• Aplikasi exchange.
• Wallet.
• Antivirus atau sistem keamanan.
• Firmware hardware wallet.
• Ekstensi browser.

Unduh pembaruan firmware hardware wallet hanya dari aplikasi atau situs resmi produsen. Jangan mengikuti tautan pembaruan yang dikirim melalui email atau pesan pribadi.

CISA merekomendasikan pembaruan software dan aplikasi untuk menutup kerentanan yang telah diperbaiki. (CISA)

8. Gunakan Cold Wallet untuk Penyimpanan Jangka Panjang

Aset yang tidak digunakan untuk transaksi rutin dapat disimpan dalam cold wallet. Hardware wallet menyimpan private key dalam perangkat khusus dan menandatangani transaksi tanpa mengekspos kunci tersebut ke komputer.

Cold wallet mengurangi risiko serangan online, tetapi tidak menghilangkan seluruh risiko. Pengguna masih dapat:

• Memasukkan seed phrase ke situs palsu.
• Menyetujui transaksi berbahaya.
• Mengirim aset ke alamat yang salah.
• Kehilangan cadangan pemulihan.
• Membeli perangkat yang telah dimodifikasi.

Beli hardware wallet melalui produsen atau distributor resmi. Perangkat baru seharusnya membuat seed phrase saat proses konfigurasi. Jangan menggunakan perangkat yang sudah memiliki seed phrase di dalam kemasan.

9. Pisahkan Wallet Berdasarkan Fungsi

Menggunakan satu wallet untuk seluruh aktivitas membuat semua aset terekspos pada risiko yang sama.

Pendekatan yang lebih terukur adalah menggunakan beberapa wallet:

Wallet penyimpanan

Digunakan untuk aset jangka panjang dan jarang dihubungkan ke aplikasi.

Wallet transaksi

Digunakan untuk transfer dan aktivitas rutin dengan saldo terbatas.

Wallet Web3

Digunakan untuk berinteraksi dengan DeFi, NFT, airdrop, dan aplikasi baru.

Akun exchange

Digunakan untuk dana yang sedang diperlukan untuk trading, bukan seluruh portofolio.

Pemisahan ini membantu membatasi dampak jika salah satu wallet atau akun mengalami kompromi.

10. Periksa Smart Contract Sebelum Memberikan Persetujuan

Menghubungkan wallet ke situs tidak selalu langsung memindahkan aset. Risiko sering muncul ketika pengguna menandatangani pesan atau memberikan token approval.

Token approval dapat memberikan izin kepada smart contract untuk memindahkan token dari wallet. Jika izin diberikan tanpa batas kepada kontrak berbahaya, aset dapat dicuri kemudian.

Sebelum menandatangani transaksi, periksa:

• Nama aplikasi.
• Domain.
• Jaringan blockchain.
• Token yang diakses.
• Jumlah token.
• Alamat kontrak.
• Jenis izin yang diminta.
• Apakah transaksi melakukan transfer atau hanya login.

Jangan menandatangani transaksi yang tidak dipahami. Tulisan “Connect Wallet” atau “Verify” pada layar situs tidak menjamin isi transaksi aman.

Persetujuan lama yang tidak lagi digunakan juga dapat ditinjau dan dicabut melalui alat pemeriksaan approval yang tepercaya.

11. Verifikasi Alamat Wallet Secara Menyeluruh

Malware clipboard dapat mengganti alamat yang disalin dengan alamat milik penyerang. Address poisoning juga dapat membuat alamat palsu terlihat mirip dengan alamat tujuan yang pernah digunakan.

Jangan hanya memeriksa empat karakter awal dan akhir. Cocokkan bagian alamat yang lebih panjang atau gunakan daftar alamat tepercaya jika tersedia.

Untuk transfer bernilai besar:

1. Pilih jaringan yang benar.
2. Periksa alamat tujuan.
3. Kirim transaksi uji coba dengan nominal kecil.
4. Pastikan aset diterima.
5. Baru kirim jumlah berikutnya.

Jangan menyalin alamat dari riwayat transaksi tanpa memverifikasi sumbernya. Penyerang dapat mengirim transaksi kecil agar alamat palsu muncul di riwayat wallet.

12. Aktifkan Fitur Keamanan Exchange

Exchange biasanya menyediakan beberapa fitur keamanan yang dapat membantu membatasi risiko akun.

Fitur yang perlu dipertimbangkan meliputi:

• Withdrawal whitelist.
• Anti-phishing code.
• MFA.
• Passkey.
• Notifikasi login.
• Notifikasi penarikan.
• Device management.
• Pembatasan perubahan password.
• Verifikasi tambahan untuk penarikan.

Withdrawal whitelist membatasi pengiriman hanya ke alamat yang telah disetujui. Anti-phishing code membantu membedakan email resmi dengan email palsu apabila fitur tersebut tersedia.

Periksa daftar perangkat secara rutin dan keluarkan sesi yang tidak dikenal.

13. Hindari Wi-Fi Publik untuk Aktivitas Sensitif

Wi-Fi publik dapat memiliki konfigurasi keamanan yang lemah atau dibuat oleh pihak berbahaya untuk menyerupai jaringan resmi.

Hindari melakukan aktivitas berikut melalui jaringan publik:

• Login ke exchange.
• Membuka wallet.
• Mengubah password.
• Membuat seed phrase.
• Mengirim aset.
• Mengakses email utama.

Gunakan jaringan pribadi yang tepercaya. VPN dapat membantu melindungi lalu lintas jaringan, tetapi tidak dapat melindungi pengguna dari situs phishing atau transaksi yang disetujui sendiri.

14. Jangan Percaya Customer Support yang Menghubungi Lebih Dulu

Penipu sering memantau percakapan publik di media sosial dan komunitas. Ketika seseorang mengeluhkan masalah wallet atau transaksi, akun palsu dapat langsung menghubungi korban dan menawarkan bantuan.

Customer support palsu biasanya meminta pengguna untuk:

• Membuka tautan tertentu.
• Menghubungkan wallet.
• Memasukkan seed phrase.
• Menginstal aplikasi remote access.
• Mengirim aset sebagai verifikasi.
• Membayar biaya untuk membuka akun.

Hubungi dukungan melalui aplikasi atau situs resmi. Jangan memberikan akses remote ke komputer kepada pihak yang tidak dikenal. Penipuan dukungan teknis dapat digunakan untuk mengambil alih perangkat dan mencuri informasi atau aset. (FBI)

15. Waspadai Airdrop, NFT, dan Token Tidak Dikenal

Token atau NFT yang tiba-tiba muncul di wallet dapat digunakan sebagai umpan. Deskripsi aset mungkin mengarahkan pengguna ke situs klaim palsu.

Jangan mengunjungi tautan yang tercantum pada token atau NFT tidak dikenal. Jangan mencoba menjual, menukar, atau mengklaim aset sebelum memahami sumber dan kontraknya.

Penyerang pernah menggunakan airdrop NFT yang tampak seperti hadiah untuk mengarahkan pengguna wallet non-custodial ke situs berbahaya. (FBI)

16. Jangan Mudah Percaya pada Keuntungan Terjamin

Penipuan investasi sering dimulai melalui media sosial, aplikasi pertemanan, grup investasi, atau pesan pribadi. Pelaku dapat membangun kepercayaan selama berminggu-minggu sebelum menawarkan platform investasi palsu.

Platform dapat menampilkan profit fiktif agar korban menambah deposit. Ketika korban mencoba menarik dana, mereka diminta membayar pajak, biaya verifikasi, atau deposit tambahan.

Tanda bahaya meliputi:

• Profit dijamin.
• Tidak ada risiko.
• Return tinggi dan konsisten.
• Harus menambah dana agar dapat menarik aset.
• Platform hanya direkomendasikan oleh satu orang.
• Pengguna diarahkan memindahkan aset dari exchange resmi.
• Customer support tidak dapat diverifikasi.

Tidak ada pihak yang dapat menjamin keuntungan dari market kripto. Permintaan deposit tambahan untuk membuka penarikan juga merupakan tanda kuat penipuan. (Consumer Advice)

17. Batasi Informasi Portofolio di Media Sosial

Mempublikasikan jumlah aset, jenis wallet, nilai keuntungan, atau lokasi penyimpanan dapat membuat seseorang menjadi target.

Pelaku dapat menggabungkan informasi dari berbagai sumber untuk menjalankan serangan yang lebih personal, seperti:

• Phishing yang disesuaikan.
• Penyamaran sebagai teman.
• Pemulihan akun palsu.
• SIM swap.
• Pemerasan.
• Serangan fisik.

Hindari membagikan screenshot saldo, alamat utama, seed phrase, perangkat keamanan, atau detail pemulihan akun.

Privasi merupakan bagian dari keamanan.

18. Siapkan Rencana Darurat

Pengguna perlu mengetahui apa yang harus dilakukan sebelum insiden terjadi.

Catat secara offline:

• Daftar akun penting.
• Metode pemulihan.
• Cara menonaktifkan akun.
• Alamat wallet cadangan.
• Kontak resmi layanan.
• Langkah memindahkan aset.
• Bukti kepemilikan yang dibutuhkan.

Rencana darurat perlu disimpan secara aman dan tidak boleh mengandung seed phrase dalam satu lokasi yang mudah diakses.

Apa yang Harus Dilakukan Jika Akun Diretas?

Jika muncul tanda-tanda kompromi, bertindak cepat tetapi tetap terukur.

Jika Akun Exchange Diretas

• Ganti password dari perangkat yang aman.
• Amankan email terlebih dahulu.
• Cabut akses perangkat yang tidak dikenal.
• Nonaktifkan API key.
• Hubungi dukungan melalui kanal resmi.
• Bekukan penarikan jika fitur tersedia.
• Simpan bukti login, email, dan transaksi.

Jika Hot Wallet Terkompromi

• Siapkan wallet baru dari perangkat yang bersih.
• Pindahkan aset yang masih tersisa.
• Jangan gunakan kembali seed phrase lama.
• Cabut approval jika masih memungkinkan.
• Periksa perangkat dari malware.
• Beri tahu platform terkait jika transaksi melibatkan layanan tertentu.

Wallet baru harus dibuat menggunakan seed phrase baru. Mengganti password aplikasi tidak memperbaiki private key yang telah bocor.

Jika Seed Phrase Bocor

Anggap seluruh wallet telah terkompromi meskipun aset belum berpindah.

Segera pindahkan aset ke wallet baru. Jangan sekadar membuat akun tambahan dari seed phrase yang sama karena seluruh akun turunan tetap dapat dikendalikan melalui seed phrase tersebut.

Jika Salah Menandatangani Transaksi

Periksa apakah transaksi hanya memberikan approval atau langsung memindahkan aset. Cabut izin kontrak secepat mungkin jika aset belum diambil, lalu pindahkan saldo ke wallet baru jika terdapat risiko lanjutan.

Dokumentasikan Insiden

Simpan:

• Hash transaksi.
• Alamat pengirim dan penerima.
• Waktu kejadian.
• Screenshot komunikasi.
• Email.
• Domain palsu.
• Nama akun pelaku.
• Bukti deposit atau penarikan.

Informasi tersebut dapat membantu exchange, penyedia layanan, atau aparat terkait menelusuri pergerakan aset.

Checklist Keamanan Kripto

Sebelum menyimpan atau memperdagangkan aset, pastikan:

• Password setiap akun berbeda.
• MFA atau passkey telah aktif.
• Email utama terlindungi.
• Seed phrase disimpan offline.
• Software diperbarui.
• Aplikasi berasal dari sumber resmi.
• Withdrawal whitelist telah diaktifkan jika tersedia.
• Wallet utama tidak digunakan untuk aplikasi berisiko.
• Alamat dan jaringan diperiksa sebelum transfer.
• Transaksi besar diawali dengan transaksi uji coba.
• Smart contract diperiksa sebelum ditandatangani.
• Saldo tidak seluruhnya disimpan dalam satu tempat.

Kesalahan yang Sering Dilakukan Pengguna Kripto

Menyimpan Seed Phrase di Ponsel

Foto dan catatan digital dapat tersinkronisasi ke cloud atau diakses aplikasi lain.

Menggunakan Password yang Sama

Kebocoran satu akun dapat membuka akses ke akun lain.

Terburu-buru Mengejar Airdrop

Urgensi membuat pengguna mengabaikan domain, kontrak, dan izin transaksi.

Menggunakan Wallet Utama untuk Semua Aktivitas

Satu approval berbahaya dapat mengekspos seluruh portofolio.

Mengabaikan Detail Transaksi

Pengguna sering hanya menekan tombol konfirmasi tanpa membaca jumlah, alamat, dan izin yang diberikan.

Menganggap Hardware Wallet Selalu Aman

Hardware wallet tidak dapat melindungi aset jika pengguna memasukkan seed phrase ke situs palsu atau menyetujui transaksi berbahaya.

Kesimpulan

Menghindari hacker di kripto membutuhkan kombinasi perlindungan teknis dan disiplin pengguna. Ancaman tidak hanya berasal dari eksploitasi sistem, tetapi juga dari phishing, malware, customer support palsu, aplikasi tidak resmi, smart contract berbahaya, dan manipulasi psikologis.

Langkah paling penting adalah menjaga seed phrase dan private key, menggunakan password unik, mengaktifkan autentikasi yang kuat, memverifikasi setiap transaksi, serta memisahkan aset berdasarkan fungsi.

Cold wallet dapat digunakan untuk penyimpanan jangka panjang, hot wallet untuk transaksi rutin, dan wallet terpisah untuk aktivitas on-chain yang memiliki risiko lebih tinggi. Struktur ini membantu membatasi dampak apabila satu akun mengalami kompromi.

Keamanan kripto tidak bergantung pada satu fitur. Perlindungan terbaik terbentuk dari beberapa lapisan yang saling melengkapi dan kebiasaan untuk selalu memeriksa sebelum mengklik, menghubungkan wallet, menandatangani transaksi, atau mengirim aset.

---

Tentang MEXC

MEXC merupakan exchange cryptocurrency dengan pertumbuhan tercepat di dunia dan dipercaya oleh lebih dari 40 juta pengguna di lebih dari 170 market. Dibangun dengan filosofi yang mengutamakan pengguna, MEXC menawarkan trading dengan biaya 0 fee serta akses ke lebih dari 3.000 aset digital. Sebagai Gateway to Infinite Opportunities, MEXC menyediakan satu platform tempat pengguna dapat dengan mudah memperdagangkan cryptocurrency bersama aset tokenisasi, termasuk saham, ETF, komoditas, dan logam mulia.

MEXC Official Website｜
X｜
Telegram｜
How to Sign Up on MEXC

Untuk pertanyaan media, silakan hubungi tim PR MEXC: media@mexc.com

Disclaimer: Artikel ini disusun untuk tujuan informasi dan edukasi. Isi artikel bukan merupakan nasihat keuangan, investasi, hukum, atau rekomendasi transaksi. Selalu lakukan riset mandiri dan pahami risiko sebelum mengambil keputusan.