Salah Copy Alamat Wallet, Dua Investor Kripto Rugi Rp900 Miliar — Ini Pelajarannya
Kalau kamu pikir modus penipuan crypto hanya soal phishing atau rug pull, ada satu jenis kesalahan yang sama merugikannya tapi jarang dibahas: address poisoning. Dua kasus besar yang terungkap awal 2026 menunjukkan betapa mahalnya kesalahan kecil di dunia Web3.
Apa yang Terjadi
Menurut data yang diungkap Scam Sniffer, penyedia solusi keamanan Web3, <cite index=”12-1″>terjadi dua insiden terpisah pada Desember 2025 dan Januari 2026 di mana seorang pengguna kripto kehilangan 12,25 juta dolar AS pada Januari karena menyalin alamat yang salah dari riwayat transaksinya, sementara korban lain pada Desember kehilangan 50 juta dolar dengan cara serupa</cite>. Total kerugian dari dua kasus ini saja mencapai sekitar Rp900 miliar (dalam nilai USD gabungan sekitar $62 juta).
Yang membuat kasus ini berbeda dari peretasan biasa: <cite index=”12-1″>ini bukan eksploitasi sistem atau kebocoran smart contract, melainkan murni kesalahan manusia — dana dikirim ke alamat yang terlihat sah, padahal sebenarnya milik penipu</cite>.
Apa itu Address Poisoning?
Modus ini bekerja dengan cara licik: penyerang mengirim transaksi kecil (kadang nyaris tanpa nilai) dari alamat wallet yang sengaja dibuat mirip dengan alamat yang sering kamu pakai — biasanya beberapa karakter awal atau akhir yang identik. Transaksi kecil ini kemudian muncul di riwayat transaksi kamu.
Kalau suatu saat kamu terburu-buru dan hanya mengecek beberapa karakter awal/akhir alamat saat copy-paste dari riwayat transaksi (bukan alamat lengkap), kamu berisiko menyalin alamat palsu milik penyerang — bukan alamat asli tujuan yang kamu maksud. Contoh kasus lain yang lebih kecil skalanya: <cite index=”12-1″>pada November 2025, seorang investor kehilangan lebih dari 3 juta dolar dalam token PYTH setelah penyerang sengaja membuat alamat dengan empat karakter awal yang sama, lalu mengirim transaksi kecil agar terlihat kredibel</cite>.
Ancaman Lain yang Ikut Meningkat: Signature Phishing
Selain address poisoning, Scam Sniffer juga mencatat lonjakan tajam pada modus signature phishing — <cite index=”12-1″>sebanyak 6,27 juta dolar dilaporkan dicuri dari 4.741 korban pada Januari 2026, melonjak 207% dibandingkan Desember 2025</cite>. Dalam modus ini, korban ditipu untuk menandatangani izin tertentu seperti fungsi permit atau increaseAllowance — persis seperti yang kita bahas di artikel Kenapa Tidak Boleh Connect Wallet ke Sembarang Website. <cite index=”12-1″>Izin semacam ini memberi penyerang akses untuk memindahkan aset korban di kemudian hari, tanpa perlu interaksi ulang dari korban</cite>.
Menariknya, <cite index=”12-1″>Scam Sniffer mencatat hanya dua wallet penyerang yang menyumbang sekitar 65% dari total kerugian phishing tersebut</cite> — menunjukkan bahwa serangan ini dilakukan secara terfokus dan terencana, bukan asal-asalan.
Cara Melindungi Diri dari Address Poisoning
- Jangan pernah copy alamat dari riwayat transaksi — selalu copy alamat langsung dari sumber resmi (aplikasi exchange, wallet penerima yang kamu verifikasi langsung dengan pemiliknya)
- Cocokkan alamat lengkap, bukan cuma beberapa karakter awal/akhir — gunakan fitur “copy” dari sumber terpercaya daripada mengetik ulang manual
- Kirim jumlah kecil dulu (test transaction) sebelum mengirim dalam jumlah besar ke alamat baru, terutama untuk transfer bernilai signifikan
- Gunakan fitur whitelist address kalau exchange atau wallet kamu menyediakannya — pelajari lebih lanjut soal ini di panduan mengamankan akun exchange kami
- Periksa detail approval sebelum sign — jangan asal klik “Confirm” pada permintaan tanda tangan (signature) apapun
Kesimpulan
Kasus ini adalah pengingat bahwa ancaman terbesar di dunia crypto tidak selalu berupa serangan teknis canggih — kadang cukup satu momen lengah saat copy-paste alamat. Selalu verifikasi alamat secara penuh, dan sebelum melakukan transaksi besar apapun, luangkan waktu ekstra untuk memastikan tujuannya benar-benar tepat.