Panduan Keamanan Transaksi Web3: Lindungi Aset on-chain Anda

Seiring dengan perkembangan ekosistem terdesentralisasi, transaksi on-chain telah menjadi bagian penting dari operasi sehari-hari pengguna Web3. Aset pengguna sedang berpindah dari platform terpusat ke jaringan terdesentralisasi, yang berarti tanggung jawab keamanan aset juga secara bertahap berpindah dari platform ke pengguna itu sendiri. Dalam lingkungan on-chain, pengguna perlu bertanggung jawab atas setiap interaksi, baik itu mengimpor dompet, mengakses aplikasi, atau menandatangani otorisasi dan memulai transaksi, setiap kesalahan dalam operasi dapat menjadi risiko keamanan, yang dapat menyebabkan kebocoran kunci pribadi, penyalahgunaan otorisasi, atau penipuan jaringan yang serius.

Meskipun saat ini plugin dompet dan browser mainstream secara bertahap telah mengintegrasikan fungsi pengenalan risiko dan peringatan, namun menghadapi teknik serangan yang semakin kompleks, mengandalkan pertahanan pasif dari alat masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih jelas mengenali titik-titik risiko potensial dalam transaksi on-chain, kami berdasarkan pengalaman praktis, menyusun skenario risiko tinggi sepanjang proses, serta menggabungkan saran perlindungan dan teknik penggunaan alat, telah merumuskan panduan keamanan transaksi on-chain yang sistematis, bertujuan untuk membantu setiap pengguna Web3 membangun "pertahanan yang dapat dikendalikan secara mandiri".

Prinsip inti dari perdagangan yang aman:

• Tolak tanda tangan buta: Jangan tanda tangan untuk transaksi atau pesan yang tidak Anda mengerti.
• Verifikasi berulang: Sebelum melakukan transaksi apa pun, pastikan untuk memverifikasi akurasi informasi yang relevan beberapa kali.

I. Saran Perdagangan Aman

Transaksi yang aman adalah kunci untuk melindungi aset digital. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan verifikasi dua langkah (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran spesifik:

• Menggunakan dompet yang aman:

Pilih penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras atau dompet perangkat lunak terkenal. Dompet perangkat keras menawarkan penyimpanan offline, yang mengurangi risiko serangan online, cocok untuk menyimpan aset dalam jumlah besar.

• Periksa kembali detail transaksi:

Sebelum mengonfirmasi transaksi, selalu verifikasi alamat penerima, jumlah, dan jaringan untuk menghindari kerugian akibat kesalahan input.

• Aktifkan verifikasi dua langkah (2FA):

Jika platform perdagangan atau dompet mendukung 2FA, pastikan untuk mengaktifkannya untuk meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Hindari menggunakan Wi-Fi publik:

Jangan melakukan transaksi di jaringan Wi-Fi publik untuk mencegah phishing dan serangan man-in-the-middle.

Dua, Bagaimana Melakukan Transaksi Aman

Sebuah alur transaksi aplikasi terdesentralisasi yang lengkap terdiri dari beberapa tahap: instalasi dompet, akses aplikasi, menghubungkan dompet, tanda tangan pesan, tanda tangan transaksi, dan pemrosesan pasca transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara berurutan mengenai hal-hal yang perlu diperhatikan dalam operasi nyata.

1. Instal Dompet:

Saat ini, cara utama penggunaan aplikasi terdesentralisasi adalah melalui dompet plugin browser. Saat menginstal dompet plugin Chrome, perlu memastikan untuk mengunduh dan menginstalnya dari toko aplikasi resmi, menghindari instalasi dari situs pihak ketiga untuk mencegah instalasi perangkat lunak dompet yang memiliki pintu belakang. Pengguna yang memiliki kemampuan disarankan untuk menggunakan dompet perangkat keras sebagai kombinasi untuk lebih meningkatkan keamanan keseluruhan dalam penyimpanan kunci pribadi.

Saat menginstal frasa pemulihan dompet cadangan (biasanya frasa pemulihan yang terdiri dari 12-24 kata), disarankan untuk menyimpannya di lokasi fisik yang aman, jauh dari perangkat digital.

2. Akses Aplikasi

Phishing web adalah teknik umum dalam serangan Web3. Kasus tipikalnya adalah mengelabui pengguna untuk mengunjungi aplikasi phishing dengan dalih airdrop, kemudian setelah pengguna menghubungkan dompet mereka, mereka akan dipaksa untuk menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses aplikasi, pengguna perlu tetap waspada untuk menghindari jebakan phishing di halaman web.

Sebelum mengakses aplikasi, pastikan keakuratan alamat situs web. Saran:

• Hindari mengakses langsung melalui mesin pencari: Penyerang phishing dapat meningkatkan peringkat situs phishing mereka dengan membeli tempat iklan.
• Hindari mengklik tautan di media sosial: URL yang diposting dalam komentar atau pesan mungkin merupakan tautan phishing.
• Periksa ulang keakuratan URL aplikasi: Dapat diverifikasi melalui beberapa sumber terpercaya.
• Tambahkan situs web yang aman ke favorit browser: Akses langsung dari favorit di masa mendatang.

Setelah membuka halaman aplikasi, Anda juga perlu melakukan pemeriksaan keamanan pada bilah alamat:

• Periksa apakah nama domain dan URL mirip dengan yang palsu.
• Periksa apakah itu tautan HTTPS, browser harus menampilkan ikon kunci.

Saat ini, dompet plugin utama di pasar juga telah mengintegrasikan fungsi peringatan risiko tertentu, yang dapat menampilkan peringatan kuat saat mengakses situs web berisiko.

3. Menghubungkan Dompet

Setelah memasuki aplikasi, mungkin akan secara otomatis atau setelah mengklik Connect secara aktif, memicu operasi untuk menghubungkan dompet. Dompet plugin akan melakukan beberapa pemeriksaan, menampilkan informasi, dan lain-lain terkait aplikasi saat ini.

Setelah menghubungkan dompet, biasanya aplikasi tidak akan secara aktif memanggil dompet plugin jika pengguna tidak melakukan operasi lain. Jika situs web sering memanggil dompet untuk meminta tanda tangan pesan, menandatangani transaksi, bahkan setelah menolak tanda tangan, situasi ini sangat mungkin merupakan situs phishing dan perlu ditangani dengan hati-hati.

4. Tanda Tangan Pesan

Dalam situasi ekstrem, seperti ketika penyerang menyerang situs resmi protokol atau melakukan serangan seperti peretasan frontend, konten halaman telah digantikan. Pengguna biasa sangat sulit untuk membedakan keamanan situs web dalam skenario seperti ini.

Saat ini, tanda tangan dompet plugin adalah penghalang terakhir bagi pengguna untuk melindungi aset mereka. Selama menolak tanda tangan jahat, aset pengguna dapat terjamin tidak akan mengalami kerugian. Pengguna harus memeriksa dengan cermat isi tanda tangan saat menandatangani pesan dan transaksi apa pun, menolak tanda tangan buta, untuk menghindari kerugian aset.

5. Tanda Tangan Transaksi

Tanda tangan transaksi digunakan untuk mengotorisasi transaksi blockchain, seperti pengiriman uang atau pemanggilan kontrak pintar. Pengguna menandatangani dengan kunci pribadi, dan jaringan memverifikasi keabsahan transaksi. Saat ini, banyak dompet plugin akan mendekode pesan yang menunggu tanda tangan dan menampilkan konten terkait, sangat penting untuk mengikuti prinsip tidak menandatangani secara membabi buta, saran keamanan:

• Periksa dengan cermat alamat penerima, jumlah, dan jaringan untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menggunakan tanda tangan offline, mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, hindari penipuan.

Untuk pengguna yang memiliki cadangan teknis tertentu, mereka juga dapat menggunakan beberapa metode pemeriksaan manual yang umum: dengan menyalin alamat kontrak interaksi ke dalam penjelajah blockchain untuk melakukan pemeriksaan, konten yang diperiksa terutama mencakup apakah kontrak tersebut bersifat open source, apakah baru-baru ini ada banyak transaksi, dan apakah alamat tersebut telah diberi label resmi atau label jahat.

6. Pemrosesan Pasca Transaksi

Menghindari halaman phishing dan tanda tangan berbahaya tidak berarti semuanya baik-baik saja; manajemen risiko tetap diperlukan setelah transaksi.

Setelah transaksi, Anda harus segera memeriksa status on-chain dari transaksi tersebut, untuk memastikan apakah statusnya sesuai dengan yang diharapkan saat tanda tangan. Jika ada anomali, segera lakukan tindakan pengurangan kerugian seperti pemindahan aset atau pencabutan otorisasi.

Manajemen Persetujuan ERC20 juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token untuk kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan batas otorisasi token dari kontrak yang diserang untuk mencuri dana pengguna. Untuk menghindari situasi seperti ini, kami menyarankan pengguna untuk mengikuti standar berikut untuk melakukan pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, jumlah token yang diotorisasi harus dibatasi sesuai dengan kebutuhan transaksi. Jika suatu transaksi memerlukan otorisasi 100USDT, maka jumlah otorisasi kali ini dibatasi pada 100USDT, dan jangan menggunakan otorisasi tidak terbatas yang default.
• Segera mencabut otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke alat manajemen otorisasi khusus untuk memeriksa status otorisasi alamat yang bersangkutan, mencabut otorisasi dari protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah kerentanan yang mungkin ada di protokol yang dapat menyebabkan kerugian aset akibat penggunaan batas otorisasi pengguna.

Tiga, Strategi Isolasi Dana

Dengan kesadaran akan risiko dan telah melakukan pencegahan risiko yang cukup, juga disarankan untuk melakukan pemisahan dana yang efektif, agar dalam situasi ekstrem dapat mengurangi tingkat kerugian dana. Strategi yang direkomendasikan adalah sebagai berikut:

• Gunakan dompet multisig atau dompet dingin untuk menyimpan aset dalam jumlah besar;
• Gunakan dompet plugin atau dompet EOA sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala mengganti alamat dompet panas, untuk mencegah alamat terus terpapar di lingkungan yang berisiko.

Jika secara tidak sengaja terjadi kasus phishing, kami menyarankan untuk segera melakukan langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat manajemen otorisasi untuk membatalkan otorisasi berisiko tinggi;
• Jika telah menandatangani tanda tangan permit tetapi aset belum dipindahkan, Anda dapat segera mengajukan tanda tangan baru untuk membuat nonce tanda tangan lama menjadi tidak berlaku;
• Jika perlu, segera pindahkan sisa aset ke alamat baru atau dompet dingin.

Empat, Cara Berpartisipasi dalam Kegiatan Airdrop dengan Aman

Airdrop adalah cara umum untuk mempromosikan proyek blockchain, tetapi ada juga risiko yang tersembunyi di dalamnya. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki whitepaper yang jelas, informasi tim yang terbuka, dan reputasi komunitas;
• Gunakan alamat khusus: Daftarkan dompet dan email khusus untuk mengisolasi risiko akun utama;
• Hati-hati mengklik tautan: Dapatkan informasi airdrop hanya melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Lima, Saran Pemilihan dan Penggunaan Alat Plugin

Ada banyak konten dalam kode etik keamanan blockchain, mungkin tidak setiap interaksi dapat dilakukan pemeriksaan yang teliti. Memilih plugin yang aman sangat penting, dapat membantu kita membuat penilaian risiko. Berikut adalah saran spesifik:

• Ekstensi yang dipercaya: Gunakan ekstensi browser yang umum digunakan oleh banyak orang. Plugin ini menyediakan fungsi dompet dan mendukung interaksi aplikasi terdesentralisasi.
• Cek peringkat: Sebelum menginstal plugin baru, periksa peringkat pengguna dan jumlah instalasi. Peringkat tinggi dan banyak instalasi biasanya menunjukkan bahwa plugin lebih dapat diandalkan, mengurangi risiko kode berbahaya.
• Tetap diperbarui: Perbarui plugin Anda secara berkala untuk mendapatkan fitur keamanan dan perbaikan terbaru. Plugin yang kedaluwarsa mungkin mengandung kerentanan yang diketahui dan rentan terhadap serangan.

Enam, Kesimpulan

Dengan mengikuti panduan transaksi aman di atas, pengguna dapat berinteraksi dengan lebih tenang dalam ekosistem blockchain yang semakin kompleks, secara nyata meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti berupa desentralisasi dan transparansi, ini juga berarti pengguna harus secara independen menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci pribadi, dan aplikasi jahat.

Untuk mencapai keamanan yang sebenarnya di on-chain, hanya mengandalkan alat pengingat jauh dari cukup, membangun kesadaran keamanan dan kebiasaan operasi yang sistematis adalah kunci. Dengan menggunakan dompet perangkat keras, menerapkan strategi isolasi dana, secara berkala memeriksa otorisasi dan memperbarui plugin serta langkah-langkah perlindungan lainnya, dan menerapkan prinsip "multi-verifikasi, menolak tanda tangan buta, isolasi dana" dalam operasi transaksi, barulah kita dapat benar-benar mencapai "on-chain dengan bebas dan aman".