Penipuan Crypto yang Umum dan Cara Menghindarinya

Pada 2023, seorang pensiunan di California berjodoh dengan orang asing yang menarik di sebuah aplikasi kencan. Selama empat bulan mereka bertukar ratusan pesan — resep masakan, foto keluarga, rencana untuk akhirnya bertemu langsung. Lalu datanglah tips investasi: sebuah platform trading crypto "privat" dengan keuntungan yang stabil dan menawan. Ia mendepositkan $10,000 dan menyaksikan dashboard-nya terus naik. Ia mendepositkan lebih banyak lagi. Saat ia mencoba menarik "profit"-nya, situs itu sudah lenyap, pesan-pesan berhenti, dan $1.2 juta tabungan seumur hidupnya menguap ke sebuah dompet yang tidak akan pernah bisa ia lacak. Tidak ada orang asing yang menarik itu. Yang ada adalah sebuah gudang penipu yang menjalankan skrip yang sama pada ribuan orang sekaligus.

Ini bukan kisah horor yang langka. Internet Crime Complaint Center milik FBI mencatat kerugian penipuan cryptocurrency sebesar $5.6 miliar pada 2023 — naik 45% dibanding tahun sebelumnya — sementara Chainalysis memperkirakan kejahatan terkait crypto secara lebih luas melampaui $14 miliar. Dan itu hanya kasus-kasus yang dilaporkan orang. Rasa malu membuat kebanyakan korban tetap bersuara diam, sehingga angka sebenarnya hampir pasti lebih besar.

Penipuan crypto mengeksploitasi tuas kuno yang sama dengan segala jenis penipuan sebelumnya — keserakahan, ketakutan, kesepian, dan kepercayaan — tapi mereka dipertajam oleh tiga properti unik teknologi ini: transaksi bersifat ireversibel, alamat bersifat pseudonim, dan budayanya benar-benar merayakan aset yang naik 100x dalam seminggu. Ketika sebuah token benar-benar bisa melesat secara sah dalam semalam, garis antara "peluang luar biasa" dan "penipuan yang jelas" sengaja dibuat kabur. Kekaburan itulah seluruh model bisnis si penipu.

Yang berikut bukanlah ensiklopedia lengkap. Ini adalah segelintir serangan yang benar-benar menguras uang paling banyak — dijelaskan dengan detail mekanis yang cukup agar kamu bisa mengenalinya sebelum mencapai dompetmu, plus tumpukan pertahanan konkret yang bisa kamu siapkan sore ini juga.

Phishing menyebabkan lebih banyak kerugian individual dibanding vektor serangan lain mana pun di crypto, dan mekaniknya secara brutal sederhana: sebuah situs palsu yang terlihat identik dengan yang asli — logo sama, font sama, tata letak sama, URL yang berbeda satu karakter saja. Kamu menghubungkan dompetmu, kamu menyetujui sebuah transaksi yang kamu kira rutin, dan sebuah smart contract berbahaya menguras setiap token yang baru saja kamu beri izin untuk disentuhnya.

Versi amatirnya punya typo dan gambar rusak. Versi yang berbahaya tanpa cela. Google Ads pernah menayangkan link phishing untuk "Uniswap" dan "MetaMask" yang peringkatnya lebih tinggi dari hasil yang asli. Akun-akun di X menyamar sebagai Vitalik Buterin atau handle resmi protokol dan memposting link airdrop palsu ke jutaan pengikut. Bot Discord langsung mengirim DM dengan link "mint eksklusif" begitu kamu bergabung ke sebuah server NFT. Di awal 2024, sebuah kampanye phishing yang menyamar sebagai email "migrasi platform" mencuri lebih dari $1.7 juta NFT dari pengguna OpenSea — orang-orang yang mengira mereka hanya mengonfirmasi update akun.

Evolusi paling berbahaya adalah wallet drainer — kode berbahaya yang sudah jadi dan sekarang disewakan sebagai "Drainer-as-a-Service," sehingga bahkan penjahat non-teknis pun bisa menggelontorkan kit pencurian setara profesional. Drainer itu tidak membutuhkan seed phrase-mu. Ia hanya butuh kamu menandatangani satu transaksi di sebuah halaman yang meyakinkan, dan tanda tangan itu yang mengurus sisanya.

Pertahanannya membosankan, dan justru itulah sebabnya ampuh:

• Bookmark URL yang asli dan hanya navigasi dari bookmark-mu — jangan pernah dari iklan pencarian, DM, atau posting media sosial.
• Verifikasi URL karakter demi karakter sebelum menghubungkan dompetmu. Perhatikan huruf yang ditukar (rn vs m), tanda hubung tambahan, dan domain mirip-mirip.
• Baca apa yang kamu tanda tangani. Sebuah prompt dompet yang meminta "approve all" atau memberi izin pengeluaran pada token yang tidak sedang aktif kamu trading-kan adalah bendera merah.
• Pakai browser atau profile khusus untuk crypto, dengan dompet hardware atau MPC untuk apa pun yang bernilai.

Seorang developer meluncurkan sebuah token. Mereka menghype-nya habis-habisan di X dan Telegram. Harganya naik saat pembeli berdatangan. Lalu, dalam satu transaksi, developer itu menarik seluruh likuiditas keluar dari pool DEX dan menghilang. Harganya langsung menuju nol. Setiap pembeli tertinggal dengan sebuah token yang secara fisik tidak bisa dijual, karena tidak ada likuiditas yang tersisa untuk dijual ke sana. Itulah "karpet" yang ditarik dari bawah kakimu.

Chainalysis melacak lebih dari $2.8 miliar hasil rug pull hanya pada 2021 saja. Token Squid Game (SQUID) adalah contoh buku teksnya: naik 75,000% sebelum para developernya menghilang dengan $3.3 juta, setelah menulis kode yang membuatnya mustahil bagi pemegang biasa untuk menjual dari awal. Kebanyakan rug pull jauh lebih kecil dan lebih cepat — meme coin di launchpad yang hidup selama beberapa jam sebelum si deployer menarik pool-nya.

Rug pull datang dalam tiga jenis mekanis, dan ada baiknya kamu tahu bedanya:

• Pencurian likuiditas (hard rug). Tim menanam sebuah liquidity pool agar terlihat sah, membiarkan pembeli menambahkan uang mereka, lalu menarik semuanya sekaligus. Nol seketika.
• Pembuangan token (soft rug). Tim secara diam-diam memegang mayoritas suplai, mempompa narasinya, dan diam-diam menjual ke order beli-mu sampai chart-nya kolaps. Lebih lambat, tapi sama finalnya.
• Jebakan token tak-terjual. Kontrak itu mengandung sebuah fungsi tersembunyi — sebuah "honeypot" — yang memblokir semua orang kecuali para developer dari menjual. Kamu bisa membeli sepanjang hari; kamu tidak akan pernah bisa keluar.

Tanda-tanda peringatannya berkelompok. Tidak ada satu pun yang menjadi bukti mutlak, tapi dua atau tiga di antaranya seharusnya membuatmu berhenti seketika:

• Tim anonim tanpa track record yang bisa diverifikasi.
• Likuiditas tidak dikunci dalam sebuah kontrak timelock (sehingga dev bisa menariknya kapan saja).
• Sebuah fungsi mint di dalam kontrak, yang membiarkan dev mencetak token baru tanpa batas.
• Kepemilikan yang terkonsentrasi — beberapa dompet memiliki sebagian besar suplai.
• Marketing yang menjual harga, bukan produk — semuanya hype "100x," tanpa utilitas yang benar-benar berfungsi.

Kamu bisa memeriksa sebagian besar ini sendiri dalam lima menit. Di sebuah block explorer seperti Etherscan, konfirmasi kontraknya terverifikasi (kode sumbernya publik) dan periksa top holders-nya. Jalankan token itu lewat screener seperti Token Sniffer atau Rug Doc untuk menandai kode honeypot dan likuiditas yang tidak terkunci. Jika sebuah token tidak bisa lolos audit lima menit itu, ia tidak pantas mendapatkan uangmu.

Nama yang mengerikan itu datang dari metodenya: penipu "menggemukkan" korban dengan kasih sayang dan kemenangan-kemenangan palsu kecil sebelum "penyembelihan" — mengambil semuanya sekaligus. Ini sekarang menjadi kategori penipuan tunggal dengan pendapatan terbesar di crypto, dan Binance melaporkan kasus pig-butchering naik dua kali lipat (naik 100.5%) dari 2022 ke 2023. Berbeda dari drainer yang menyerang dalam hitungan detik, serangan ini berlangsung selama berminggu-minggu atau berbulan-bulan, dan justru itulah yang membuatnya begitu menghancurkan: pada saat uang sudah terlibat, korban sungguh-sungguh percaya pada orang di ujung sana.

Ia berjalan dalam empat tahap, dan mengenali bentuknya adalah pertahanan terbaikmu:

• 1. Kontak. Sebuah SMS "salah nomor," sebuah jodoh di aplikasi kencan, sebuah DM ramah. Pembukanya selalu hangat dan tidak pernah tentang uang.
• 2. Grooming. Berminggu-minggu percakapan yang sungguhan — sapaan harian, cerita hidup, keintiman emosional. Si penipu sabar, mendukung, dan mudah relate. Belum ada obrolan finansial.
• 3. Penggemukan. Mereka menyinggung secara santai sebuah platform investasi "privat" yang sudah baik untuk mereka. Kamu mendepositkan sedikit dan dashboard-nya menunjukkan keuntungan yang menawan. Mereka bahkan membiarkanmu menarik sedikit untuk membuktikan itu nyata. Satu penarikan berhasil itulah kailnya.
• 4. Penyembelihan. Karena percaya diri, kamu mendepositkan tabunganmu. Saat kamu mencoba menarik, kamu diberitahu bahwa kamu berutang "pajak" atau "biaya" dulu — lebih banyak uang untuk mengejar uang yang sejak awal tidak pernah ada. Lalu platform dan orang itu menghilang bersamaan.

Platform itu sudah menjadi fiksi dari layar pertama. "Keuntungan"-nya adalah angka-angka dalam sebuah database yang dikendalikan si penipu. Seluruh arsitekturnya dirancang untuk merekayasa kepercayaan lalu menjadikannya senjata.

Beberapa penipuan tidak bersembunyi di dalam smart contract — mereka bersembunyi di dalam sebuah spreadsheet. Sebuah skema Ponzi membayar investor yang sudah ada dengan uang dari investor baru, bukan dari profit sungguhan. Selama deposit terus bertambah, "imbal hasil" awal terlihat nyata dan testimonialnya mengkilap. Begitu aliran dana masuk melambat, seluruh skema itu kolaps, dan semua orang yang masih di dalamnya kehilangan segalanya.

Crypto memperbesar ini karena imbal hasil yang tidak masuk akal bisa terdengar masuk akal. Ketika sebuah meme coin sungguh-sungguh naik 50x, sebuah promo "imbal hasil 2% harian, dijamin" tidak langsung terdaftar sebagai fantasi — meskipun itu berbunga-majemuk menjadi lebih dari 137,000% setahun, sebuah tingkat yang tidak bisa dijaga oleh bisnis jujur mana pun di bumi. Skema Ponzi crypto terbesar sampai saat ini, BitConnect, menjanjikan ~1% per hari, menarik miliaran dolar, dan meledak pada 2018, menguapkan tabungan puluhan ribu orang.

Tanda-tandanya bersifat matematis, dan mereka tidak berbohong:

• Imbal hasil "dijamin". Semua investasi sungguhan mengandung risiko. Kata "dijamin" di sebelah angka imbal hasil adalah bendera merah terbesar dalam dunia finansial.
• Imbal hasil yang mencurigakan mulusnya. Pasar sungguhan berfluktuasi. Sebuah grafik yang naik jumlah yang sama setiap hari adalah angka yang direkayasa, bukan hasil trading.
• Tekanan referral. Jika imbalanmu bergantung pada merekrut orang lain, "imbal hasil" itu hanyalah deposit korban selanjutnya. Itu piramida, bukan produk.
• Strategi yang samar. "Bot arbitrase AI proprietary" tanpa aktivitas on-chain yang bisa diverifikasi berarti tidak ada strategi sama sekali — hanya uangmu yang membayar orang yang lebih dulu bergabung darimu.

Terapkan satu filter untuk setiap peluang imbal hasil: dari mana sebenarnya imbal hasil itu berasal? Jika kamu tidak bisa menyebutkan sumber ekonomi yang nyata — biaya trading, bunga pinjaman, reward staking yang bisa diverifikasi on-chain — maka sumbernya kemungkinan adalah investor selanjutnya, dan kamulah likuiditas exit-nya.

Tidak semua penipuan itu rumit. Beberapa berisik dan kasar dan masih berhasil, karena mereka menyasar momen kelengahan. Penipuan penyamaran dan giveaway adalah klasiknya: sebuah akun yang terlihat terverifikasi menjanjikan bahwa jika kamu "kirim 1 ETH ke alamat ini, kamu akan dapat 2 ETH balik." Tidak ada yang menggandakan uangmu secara gratis — pernah. Matematikanya adalah seluruh penipuannya. AI hanya mempertajamnya: video deepfake dari Elon Musk atau para founder crypto sekarang "menjadi host" giveaway live-stream yang terlihat diproduksi secara profesional.

Dua sepupu yang lebih tenang melakukan kerusakan yang lebih lama:

• Airdrop berbahaya. Kamu bangun dan menemukan token misterius di dompetmu. Meng-klaim mereka mengirimkanmu ke sebuah situs yang meminta kamu menghubungkan dan menandatangani — dan tanda tangan itulah jebakannya. Sebuah airdrop yang sah tidak pernah mengharuskanmu membayar atau menandatangani sebuah approval yang mencurigakan untuk "membukanya." Anggap token yang tidak terduga sebagai umpan, bukan hadiah.
• Address poisoning. Seorang penipu mengirimimu sebuah transaksi kecil dari sebuah alamat yang direkayasa agar terlihat hampir identik dengan alamat yang sering kamu pakai — beberapa karakter pertama dan terakhir yang sama. Kemudian, saat kamu menyalin sebuah alamat terbaru dari riwayatmu untuk membayar seseorang, kamu justru mengambil alamat mereka secara tidak sengaja dan mengirim dana langsung ke penyerang. Selalu verifikasi alamat lengkapnya, bukan hanya ujung-ujungnya saja.

Lalu ada ancaman gerak-lambat yang duduk di dompetmu sekarang: token approval. Setiap kali kamu trading di sebuah DEX, kamu memberi izin sebuah smart contract untuk memindahkan sebuah token atas namamu — dan kebanyakan antarmuka secara default memberikan approval tak terbatas. Izin itu tidak pernah kedaluwarsa. Jika kontrak itu kemudian dieksploitasi, atau sudah berbahaya dari awal, ia bisa menguras token yang disetujui itu berbulan-bulan setelah kamu lupa interaksi itu pernah terjadi. Approval lama pada kontrak yang ditinggalkan atau dikompromikan adalah jebakan tersembunyi di bawah danamu.

Solusinya adalah pemeliharaan, bukan kepintaran: secara berkala audit approval-mu dengan sebuah alat seperti revoke.cash atau approval checker milik Etherscan, dan cabut apa pun yang tidak lagi aktif kamu pakai. Ketika bisa, setujui hanya jumlah spesifik yang kamu perlukan alih-alih memberikan akses tak terbatas.

Kamu tidak mengalahkan penipu dengan menjadi lebih pintar dari mereka pada momennya — mereka merekayasa momen-momen di mana tidak ada yang berada dalam kondisi paling tajam. Kamu mengalahkan mereka dengan struktur yang disiapkan sebelumnya, sehingga bahkan klik terburukmu tidak akan merugikanmu banyak. Berikut tumpukannya, diurutkan berdasarkan dampak.

1. Pisahkan dompetmu. Simpan sebuah dompet "hot" dengan dana minimal untuk interaksi harian — menghubungkan ke dApp, mengklaim airdrop, minting NFT. Simpan sebagian besar portofoliomu di sebuah dompet hardware atau dompet MPC yang tidak pernah menyentuh smart contract sembarangan. Jika dompet hot-mu terkena phishing, kamu hanya kehilangan uang kecil, bukan seluruh kekayaanmu. Kebiasaan tunggal ini membatasi risiko turunmu lebih dari kebiasaan lain mana pun.

2. Praktikkan disiplin URL. Bookmark setiap situs asli yang kamu pakai dan hanya navigasi dari bookmark. Jangan pernah mencapai sebuah platform crypto lewat iklan pencarian, DM, atau link "support" yang dikirim seseorang. Verifikasi domain karakter demi karakter sebelum menghubungkan.

3. Jaga approval-mu tetap bersih. Cabut token approval lama secara rutin dan lebih pilih batas pengeluaran spesifik dibanding tak terbatas. Sebuah daftar approval yang bersih berarti kontrak yang dieksploitasi tidak ada apa pun untuk direbut.

4. Baca setiap tanda tangan. Perlambat sebelum kamu menandatangani. Jika sebuah prompt meminta "approve all," memberi akses ke token yang tidak kamu trading-kan, atau datang dengan sebuah timer hitung mundur, berhenti dan verifikasi. Urgensi itu direkayasa.

Kebanyakan kerugian crypto yang katastropik berasal dari salah satu dari dua kegagalan: sebuah seed phrase yang dicuri, dibocorkan, atau di-phishing dari seseorang — atau sebuah kustodian terpusat yang secara diam-diam salah mengelola dana, ala FTX. GaiaEx dirancang untuk menghilangkan kedua titik kegagalan tunggal itu dari meja.

Keamanan kunci MPC — tidak ada seed phrase yang bisa dicuri. Kunci privatmu tidak pernah disatukan di satu tempat. Memakai Multi-Party Computation, kunci itu dipecah menjadi shard-shard terenkripsi yang dipegang oleh pihak-pihak independen, sehingga tidak ada satu server, perangkat, atau orang pun yang pernah memegang kunci yang lengkap. Tidak ada seed phrase induk untuk ditipu oleh sebuah halaman phishing, dan tidak ada satu file pun yang bisa dieksfiltrasi penyerang. Penyebab kerugian total yang paling umum — sebuah seed yang dikompromikan — sekadar tidak ada dalam model ini.

Non-custodial secara desain — tidak ada skenario FTX. Kamu tetap memegang kendali atas asetmu. GaiaEx bukan sebuah brankas terpusat di mana satu eksekutif bisa memindahkan uang nasabah di balik pintu tertutup, karena tidak ada pintu tertutup — settlement terjadi on-chain di mana siapa pun bisa memverifikasinya.

Eksekusi on-chain yang bisa kamu audit. Trading diselesaikan di Hyperliquid L1 dengan finalitas di bawah satu detik, di sebuah ledger publik. Kepercayaannya bukan pada GaiaEx-sebagai-perusahaan yang menjaga buku internal secara jujur; melainkan pada garansi matematis dari chain itu sendiri.

Tidak satu pun dari ini membuatmu tak terkalahkan. Tidak ada exchange dan tidak ada teknologi yang bisa mencegahmu menandatangani sebuah transaksi berbahaya atau mengirimkan tabunganmu ke platform investasi milik seorang "kekasih" asing. Tumpukan pertahanan di bagian sebelumnya tetap tanggung jawabmu — pemisahan dompet, disiplin URL, kebersihan approval, dan tes $0. Yang GaiaEx lakukan adalah mengecilkan permukaan kegagalan katastropik menjadi hanya keputusan-keputusan yang benar-benar kamu kendalikan, dan menghilangkan yang seharusnya tidak perlu kamu pikirkan. Itulah kesepakatan yang jujur: platform ini menangani kriptografinya sehingga kamu tidak bisa kehilangan sebuah seed phrase yang tidak pernah kamu miliki, dan kamu menangani keputusan-keputusan yang tidak bisa dibuat software mana pun untukmu.