Pengguna MetaMask sedang menjadi target gelombang baru penipuan phishing yang meniru pembaruan keamanan resmi dan memanfaatkan meningkatnya kesadaran tentang perlindungan dompet. Karena penipuan ini dibuat dengan sangat terampil, tampak masuk akal secara teknis, dan persuasif, maka penipuan ini sangat berbahaya.
Email yang mengaku berasal dari MetaMask Support biasanya menjadi langkah awal serangan, dengan memberi tahu pengguna tentang persyaratan autentikasi dua faktor (2FA) yang akan segera diberlakukan. Pesan tersebut menggunakan branding yang sesuai, memiliki batas waktu untuk mendorong tindakan cepat, dan tampak profesional. Tujuan dari rasa urgensi ini adalah untuk mengurangi kemungkinan pengguna berhenti sejenak untuk memverifikasi apa yang mereka lihat.
Di Mana Bagian Sulitnya
Domain resmi MetaMask tidak dapat diakses melalui tautan di email tersebut. Sebaliknya, tautan tersebut mengarah ke salinan yang hampir identik seperti matamask atau mertamask. Terutama di perangkat seluler, perbedaan ejaan kecil seperti ini mudah terlewatkan. Setelah diklik, pengguna diarahkan ke situs web yang dirancang dengan baik yang meniru tampilan MetaMask dan demi meningkatkan legitimasi, mengintegrasikan keamanan Cloudflare.
Penipuan kemudian berlanjut dalam beberapa tahap. Awalnya, pengguna diminta untuk melakukan verifikasi manusia. Setelah itu, mereka melihat pesan yang mengonfirmasi bahwa 2FA telah diaktifkan, lengkap dengan pengatur waktu mundur, bilah kemajuan, dan indikator status yang menenangkan seperti Security Layer Complete. Hal ini sama sekali tidak berkaitan dengan infrastruktur MetaMask. Itu hanyalah konten web yang disusun untuk menumbuhkan kepercayaan. Langkah terpenting adalah yang terakhir.
Dengan kedok verifikasi keamanan akhir atau validasi checksum, situs web meminta pengguna untuk memasukkan recovery seed phrase dompet mereka. Ini adalah inti dari penipuan tersebut. Seed phrase tidak akan pernah diminta melalui situs web oleh penyedia dompet terkemuka mana pun. Penyerang dapat menguras habis dompet setelah frasa tersebut dimasukkan, yang segera dikirimkan kepada mereka.
Teknik Penipuan yang Canggih
Penipuan ini berhasil karena tampak realistis, bukan karena kompleks secara teknis. Penipuan ini meniru prosedur keamanan nyata dan menggunakan istilah yang biasa dilihat pengguna seperti referensi pada enkripsi keamanan dan autentikasi.
Pengguna harus mengingat beberapa pedoman utama untuk tetap aman: MetaMask tidak pernah meminta seed phrase, semua tugas terkait dompet dilakukan di dalam ekstensi atau aplikasi resmi, dan tidak pernah memberlakukan pembaruan keamanan melalui email.
