Panduan Keamanan Transaksi On-Chain untuk Pengguna Web3

Seiring dengan perkembangan ekosistem blockchain, transaksi on-chain telah menjadi bagian penting dari operasi sehari-hari pengguna Web3. Aset pengguna secara bertahap berpindah dari platform terpusat ke jaringan terdesentralisasi, dan tren ini juga berarti tanggung jawab keamanan aset berpindah dari platform ke pengguna itu sendiri. Dalam lingkungan on-chain, pengguna perlu bertanggung jawab atas setiap interaksi, baik itu mengimpor dompet, mengakses aplikasi terdesentralisasi, atau menandatangani izin dan memulai transaksi; setiap tindakan yang tidak hati-hati dapat memicu risiko keamanan yang serius, termasuk kebocoran kunci pribadi, penyalahgunaan izin, atau serangan phishing.

Meskipun saat ini plugin dompet utama dan browser secara bertahap mengintegrasikan fungsi deteksi phishing, peringatan risiko, dan lainnya, namun menghadapi metode serangan yang semakin kompleks, hanya mengandalkan pertahanan pasif dari alat tersebut masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih baik dalam mengidentifikasi titik risiko potensial dalam transaksi on-chain, kami berdasarkan pengalaman praktis, merangkum skenario risiko tinggi sepanjang proses, dan menggabungkan saran perlindungan serta teknik penggunaan alat, menyusun panduan keamanan transaksi on-chain yang sistematis, bertujuan untuk membantu setiap pengguna Web3 membangun "jalur keamanan yang dapat dikendalikan secara mandiri."

Prinsip inti dari transaksi yang aman:

• Tolak tanda tangan buta: Jangan tanda tangani transaksi atau pesan yang tidak Anda pahami.
• Verifikasi berulang: Sebelum melakukan transaksi apa pun, pastikan untuk memverifikasi keakuratan informasi yang relevan beberapa kali.

I. Saran Transaksi Aman

Transaksi yang aman adalah kunci untuk melindungi aset digital. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan verifikasi dua langkah (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran spesifik:

• Menggunakan dompet yang aman:

Pilih penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras atau dompet perangkat lunak terkenal. Dompet perangkat keras menyediakan penyimpanan offline, mengurangi risiko serangan online, dan cocok untuk menyimpan aset dalam jumlah besar.

• Periksa kembali detail transaksi:

Sebelum mengonfirmasi transaksi, selalu verifikasi alamat penerima, jumlah, dan jaringan (misalnya, pastikan Anda menggunakan rantai yang benar, seperti Ethereum atau rantai kompatibel lainnya), untuk menghindari kerugian akibat kesalahan input.

• Aktifkan verifikasi dua langkah (2FA):

Jika platform perdagangan atau dompet mendukung 2FA, pastikan untuk mengaktifkannya untuk meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Hindari penggunaan Wi-Fi publik:

Jangan melakukan transaksi di jaringan Wi-Fi publik untuk mencegah serangan phishing dan serangan man-in-the-middle.

Dua, Cara Melakukan Transaksi yang Aman

Proses transaksi aplikasi terdesentralisasi yang lengkap terdiri dari beberapa tahap: instalasi dompet, mengakses aplikasi, menghubungkan dompet, penandatanganan pesan, penandatanganan transaksi, dan pemrosesan pasca-transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara bertahap mengenai hal-hal yang perlu diperhatikan dalam praktik.

1. Instal Dompet:

Saat ini, cara utama penggunaan aplikasi terdesentralisasi adalah melalui dompet plugin browser untuk berinteraksi. Dompet utama yang digunakan di Ethereum dan rantai yang kompatibel mencakup beberapa pilihan.

Saat menginstal dompet ekstensi Chrome, perlu memastikan untuk mengunduh dan menginstal dari toko aplikasi resmi, menghindari instalasi dari situs pihak ketiga untuk mencegah instalasi perangkat lunak dompet yang memiliki backdoor. Pengguna yang memiliki kondisi disarankan untuk menggunakan dompet perangkat keras secara bersamaan untuk lebih meningkatkan keamanan keseluruhan dalam penyimpanan kunci pribadi.

Saat menginstal frase pemulihan cadangan dompet (biasanya 12-24 kata), disarankan untuk menyimpannya di tempat yang aman, jauh dari perangkat digital (misalnya, menulisnya di kertas dan menyimpannya di brankas).

2. Mengakses aplikasi terdesentralisasi

Phishing web adalah salah satu metode umum dalam serangan Web3. Kasus tipikalnya adalah mengundang pengguna untuk mengunjungi aplikasi phishing atas nama airdrop, yang kemudian mendorong pengguna untuk menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token setelah mereka menghubungkan dompet mereka, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses aplikasi terdesentralisasi, pengguna harus tetap waspada untuk menghindari terjebak dalam perangkap phishing web.

Sebelum mengakses aplikasi, pastikan keakuratan URL. Saran:

• Hindari mengakses langsung melalui mesin pencari: Penyerang phishing mungkin membeli ruang iklan untuk meningkatkan peringkat situs phishing mereka.
• Hindari mengklik tautan di media sosial: URL yang diposting dalam komentar atau pesan mungkin merupakan tautan phishing.
• Verifikasi berulang kali keakuratan alamat aplikasi: dapat dilakukan melalui berbagai platform data tepercaya, akun media sosial resmi dari pihak proyek, dan sumber lainnya.
• Tambahkan situs web yang aman ke favorit browser: Akses langsung dari favorit di kemudian hari.

Setelah membuka halaman aplikasi, perlu juga memeriksa keamanan di bilah alamat:

• Periksa apakah nama domain dan URL mirip dengan yang palsu.
• Periksa apakah itu adalah tautan HTTPS, browser harus menampilkan ikon kunci 🔒.

Saat ini, dompet plugin utama di pasar juga telah mengintegrasikan fungsi peringatan risiko tertentu, yang dapat menampilkan peringatan kuat saat mengakses situs web berisiko.

3. Menghubungkan Dompet

Setelah masuk ke aplikasi, mungkin akan memicu operasi koneksi dompet secara otomatis atau setelah mengklik Connect secara aktif. Dompet plugin akan melakukan beberapa pemeriksaan dan menampilkan informasi terkait aplikasi saat ini.

Setelah menghubungkan dompet, biasanya aplikasi tidak akan secara aktif memanggil dompet plugin jika pengguna tidak melakukan tindakan lain. Jika situs web sering memanggil dompet untuk meminta tanda tangan pesan, menandatangani transaksi, bahkan setelah menolak tanda tangan, maka itu bisa jadi merupakan situs phishing, dan perlu ditangani dengan hati-hati.

4. Tanda Tangan Pesan

Dalam situasi ekstrem, misalnya, jika penyerang menyerang situs resmi protokol atau melakukan serangan seperti peretasan front-end, dan mengganti konten halaman. Pengguna biasa akan sangat sulit untuk menilai keamanan situs web dalam skenario seperti ini.

Pada saat ini, tanda tangan dompet plugin adalah penghalang terakhir bagi pengguna untuk menyimpan aset mereka. Selama menolak tanda tangan jahat, pengguna dapat melindungi aset mereka dari kerugian. Pengguna harus dengan hati-hati memeriksa konten tanda tangan saat menandatangani pesan dan transaksi apa pun, dan menolak tanda tangan buta untuk menghindari kerugian aset.

Jenis tanda tangan yang umum termasuk:

• eth_sign: Tanda tangan data hash.
• personal_sign: Menandatangani informasi dalam bentuk jelas, paling umum digunakan saat verifikasi login pengguna atau konfirmasi perjanjian izin.
• eth_signTypedData (EIP-712): tanda tangan untuk data terstruktur, sering digunakan untuk Permit ERC20, penawaran NFT, dll.

5. Tanda Tangan Transaksi

Tanda tangan transaksi digunakan untuk mengautorisasi transaksi blockchain, seperti transfer atau memanggil kontrak pintar. Pengguna menandatangani dengan kunci pribadi, jaringan memverifikasi keabsahan transaksi. Saat ini banyak dompet plugin yang akan mendekode pesan yang akan ditandatangani dan menampilkan konten terkait, pastikan untuk mengikuti prinsip tidak menandatangani secara buta, saran keamanan:

• Periksa dengan cermat alamat penerima, jumlah, dan jaringan untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menggunakan tanda tangan offline, untuk mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, hindari penipuan.

Untuk pengguna yang memiliki cadangan teknis tertentu, juga dapat menggunakan beberapa metode pemeriksaan manual yang umum: dengan menyalin alamat kontrak target interaksi ke dalam penjelajah blockchain untuk diperiksa, konten yang diperiksa terutama termasuk apakah kontrak bersifat open-source, apakah ada banyak transaksi baru-baru ini, dan apakah alamat tersebut diberi label resmi atau label jahat.

6. Pemrosesan Pasca Transaksi

Menghindari halaman phishing dan tanda tangan berbahaya tidak berarti semua masalah telah teratasi, manajemen risiko tetap diperlukan setelah melakukan transaksi.

Setelah transaksi, sebaiknya segera memeriksa keadaan on-chain dari transaksi tersebut, untuk memastikan apakah statusnya sesuai dengan yang diharapkan saat penandatanganan. Jika menemukan ketidaknormalan, segera lakukan tindakan pengurangan kerugian seperti pemindahan aset dan pencabutan otorisasi.

Manajemen Persetujuan ERC20 juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token untuk kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan kuota otorisasi token dari kontrak yang diserang untuk mencuri dana pengguna. Untuk menghindari situasi seperti ini, kami menyarankan pengguna untuk mengikuti standar berikut untuk pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, jumlah token yang diotorisasi harus dibatasi sesuai dengan kebutuhan transaksi. Jika suatu transaksi memerlukan otorisasi 100 USDT, maka jumlah otorisasi kali ini dibatasi pada 100 USDT, dan jangan gunakan otorisasi tanpa batas secara default.
• Segera mencabut otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke alat terkait untuk memeriksa status otorisasi alamat yang bersangkutan, mencabut otorisasi dari protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah adanya celah yang dapat menyebabkan kerugian aset akibat pemanfaatan kuota otorisasi pengguna.

Tiga, Strategi Isolasi Dana

Dalam keadaan memiliki kesadaran risiko dan telah melakukan pencegahan risiko yang memadai, juga disarankan untuk melakukan pemisahan dana yang efektif agar dapat mengurangi tingkat kerugian dana dalam situasi ekstrem. Strategi yang direkomendasikan adalah sebagai berikut:

• Gunakan dompet multisignature atau dompet dingin untuk menyimpan aset besar;
• Gunakan dompet plugin atau dompet EOA sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala mengganti alamat dompet panas, untuk mencegah alamat terus terpapar pada lingkungan risiko.

Jika tidak sengaja terjadi situasi phishing, kami menyarankan untuk segera melaksanakan langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat terkait untuk membatalkan otorisasi berisiko tinggi;
• Jika telah menandatangani tanda tangan permit tetapi aset belum dipindahkan, Anda dapat segera memulai tanda tangan baru untuk membuat nonce tanda tangan lama menjadi tidak berlaku;
• Jika perlu, segera pindahkan sisa aset ke alamat baru atau dompet dingin.

Empat, Bagaimana Berpartisipasi dalam Kegiatan Airdrop dengan Aman

Airdrop adalah cara umum untuk mempromosikan proyek blockchain, tetapi juga menyimpan risiko. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki white paper yang jelas, informasi tim yang terbuka, dan reputasi komunitas;
• Gunakan alamat khusus: Daftarkan dompet dan email khusus untuk mengisolasi risiko akun utama;
• Hati-hati mengklik tautan: hanya dapatkan informasi airdrop melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Lima, Saran Pemilihan dan Penggunaan Alat Plugin

Ada banyak konten dalam pedoman keamanan blockchain, mungkin tidak setiap interaksi dapat dilakukan pemeriksaan yang mendetail. Memilih plugin yang aman sangat penting, dapat membantu kita membuat penilaian risiko. Berikut adalah saran spesifik:

• Ekstensi Tepercaya: Menggunakan ekstensi browser yang umum digunakan. Plugin ini menyediakan fungsi dompet dan mendukung interaksi aplikasi terdesentralisasi.
• Cek Peringkat: Sebelum menginstal plugin baru, periksa peringkat pengguna dan jumlah instalasi. Peringkat tinggi dan banyak instalasi biasanya menunjukkan bahwa plugin lebih dapat diandalkan, mengurangi risiko kode jahat.
• Tetap Perbarui: Perbarui plugin Anda secara berkala untuk mendapatkan fitur keamanan terbaru dan perbaikan. Plugin yang kedaluwarsa mungkin mengandung kerentanan yang diketahui yang dapat dieksploitasi oleh penyerang.

Enam, Kesimpulan

Dengan mengikuti panduan transaksi aman di atas, pengguna dapat berinteraksi dengan lebih tenang di ekosistem blockchain yang semakin kompleks, secara efektif meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti dalam desentralisasi dan transparansi, ini juga berarti pengguna harus secara mandiri menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci pribadi, dan aplikasi jahat.

Untuk mencapai keamanan yang sebenarnya di on-chain, hanya mengandalkan alat pengingat jauh dari cukup, membangun kesadaran keamanan sistematis dan kebiasaan operasi adalah kuncinya. Dengan menggunakan dompet keras, menerapkan strategi isolasi dana, memeriksa izin secara berkala dan memperbarui plugin serta langkah perlindungan lainnya, dan menerapkan prinsip "verifikasi ganda, menolak tanda tangan buta, isolasi dana" dalam operasi transaksi, baru bisa benar-benar mencapai "on-chain dengan bebas dan aman".