Lindungi Diri dari Address Poisoning Saat Copy Alamat

Seseorang mengirim 0 token atau token bernilai receh ke alamat Anda, dari alamat lain yang sengaja dibuat mirip dengan alamat yang sering Anda kirimi dana — beberapa karakter awal dan akhirnya sama persis. Tujuannya satu: menunggu Anda salah copy alamat itu dari riwayat transaksi saat mau mengirim dana sungguhan.

Ini disebut address poisoning, dan karena blockchain bersifat publik serta alamat bisa dibuat semirip apa pun secara komputasi (vanity address generator), teknik ini tidak butuh akses ke perangkat atau akun Anda sama sekali — hanya butuh Anda yang lengah.

Bagaimana Address Poisoning Bekerja

Penyerang mengamati riwayat transaksi publik di blockchain untuk melihat alamat mana yang sering Anda kirimi dana — misalnya alamat exchange, alamat teman, atau alamat dompet kedua Anda sendiri. Dengan komputasi vanity address, mereka membuat alamat baru yang beberapa karakter depan dan belakangnya identik dengan alamat asli tersebut, lalu mengirim transaksi kecil (dust atau token nilai nol) dari alamat palsu itu ke dompet Anda.

Transaksi ini otomatis muncul di riwayat dompet Anda. Banyak orang, saat mau mengirim dana lagi ke alamat yang sama, tidak mengetik ulang alamat tujuan — mereka copy dari transaksi terakhir di riwayat, dengan asumsi itu alamat yang benar. Kalau yang di-copy ternyata alamat palsu si penyerang (karena posisinya paling atas di riwayat), dana yang dikirim langsung masuk ke kantong penyerang, bukan tujuan yang Anda maksud.

Serangan ini tidak melibatkan hacking, malware, atau approval berbahaya — murni memanfaatkan kebiasaan manusia yang percaya pada kemiripan visual. Lihat definisi teknisnya di kamus address poisoning.

Kenapa Serangan Ini Sulit Diberantas Sepenuhnya

Address poisoning efektif karena dua hal yang tidak bisa diubah dari sisi protokol blockchain: riwayat transaksi bersifat publik dan bisa diamati siapa saja, dan siapa pun bisa membuat alamat baru sebanyak yang mereka mau tanpa izin dari siapa pun. Membuat alamat yang mirip di beberapa karakter awal dan akhir hanya soal daya komputasi — dengan software vanity address generator yang tersedia bebas, mencocokkan 4-6 karakter di kedua ujung alamat bisa selesai dalam hitungan menit hingga jam, tergantung panjang kecocokan yang diinginkan.

Yang membuat pola ini makin licik, penyerang tidak perlu Anda melakukan apa pun selain satu kesalahan kecil: sekali copy alamat yang salah dari riwayat, transaksi terkirim dan selesai — tidak ada tahap approve tambahan, tidak ada peringatan popup khusus, karena secara teknis Anda memang mengirim ke alamat valid, hanya bukan alamat yang Anda maksud. Ini berbeda dari kebanyakan serangan wallet lain yang biasanya butuh korban menandatangani sesuatu terlebih dahulu.

Address poisoning juga sering muncul berdampingan dengan taktik lain seperti pengiriman token dust untuk tujuan pelacakan — kedua teknik sama-sama memanfaatkan sifat terbuka riwayat transaksi, meski tujuan akhirnya berbeda.

Red Flag yang Bisa Anda Cek Hari Ini

• Ada transaksi masuk bernilai nol atau sangat kecil dari alamat yang tidak Anda kenal, tapi mirip dengan alamat yang biasa Anda gunakan.
• Riwayat transaksi Anda menampilkan dua alamat yang terlihat “sama” sekilas — sama di beberapa karakter awal dan akhir, tapi berbeda di bagian tengah.
• Anda punya kebiasaan copy alamat tujuan dari riwayat transaksi terakhir, bukan dari sumber tersimpan.
• Anda mengirim dana rutin ke alamat yang sama (misalnya exchange atau dompet kedua) tanpa pernah menyimpannya sebagai kontak tersimpan di wallet.

Langkah Mitigasi

1. Jangan copy alamat dari riwayat transaksi. Selalu ambil alamat tujuan dari sumber yang Anda percaya — salin langsung dari akun exchange, dari address book tersimpan di wallet, atau dari QR code resmi.
2. Simpan alamat yang sering dipakai sebagai kontak tersimpan. Sebagian besar wallet (MetaMask, Trust Wallet, Rabby) punya fitur address book — gunakan ini alih-alih mengandalkan ingatan atau riwayat transaksi.
3. Verifikasi seluruh karakter alamat, bukan cuma beberapa huruf pertama dan terakhir. Kalau perlu, cocokkan minimal 6-8 karakter di beberapa titik berbeda dari alamat, bukan hanya ujung-ujungnya.
4. Kirim jumlah kecil dulu untuk transaksi bernilai besar ke alamat baru. Verifikasi transaksi test sudah sampai sebelum mengirim sisa dana dalam jumlah besar.
5. Abaikan token atau dana yang masuk dari alamat tak dikenal. Jangan interaksi dengan token tersebut sama sekali — lihat juga risiko token kiriman berbahaya di lindungi dari clipboard hijacking, teknik yang sering berjalan berdampingan dengan address poisoning.
6. Gunakan wallet dengan fitur peringatan alamat baru. Beberapa wallet modern menandai kalau Anda mengirim ke alamat yang belum pernah berinteraksi dengan Anda sebelumnya — perhatikan peringatan ini, jangan diabaikan begitu saja.
7. Sembunyikan atau abaikan transaksi dust di riwayat Anda kalau wallet mendukungnya. Beberapa wallet memungkinkan Anda menandai transaksi tertentu sebagai spam, sehingga tidak mudah tertukar dengan transaksi yang benar-benar Anda lakukan.
8. Biasakan double-check khusus untuk transaksi bernilai besar atau ke alamat exchange. Alamat exchange adalah target favorit address poisoning karena frekuensi pengiriman dana ke sana biasanya tinggi dan rutin.

Tidak ada cara menghilangkan risiko address poisoning sepenuhnya selama blockchain bersifat publik dan siapa pun bisa membuat alamat mirip. Yang bisa Anda kendalikan adalah kebiasaan verifikasi sebelum kirim.

Kalau Sudah Terlanjur

Kalau Anda sudah mengirim dana ke alamat yang ternyata salah karena address poisoning, kemungkinan besar dana tersebut tidak bisa ditarik kembali karena transaksi blockchain bersifat final — langkah realistis selanjutnya adalah mendokumentasikan transaksi tersebut (screenshot, hash transaksi, alamat tujuan yang salah) dan mengevaluasi sisa dana yang masih aman di dompet Anda, bukan menghabiskan waktu berharap dana kembali dengan sendirinya. Baca langkah lebih lengkap di situasi wallet kena drain, sisa sedikit.

Pengalaman ini biasanya jadi pengingat paling efektif untuk membangun kebiasaan verifikasi alamat secara permanen — kerugian yang sudah terjadi tidak bisa diubah, tapi kebiasaan ke depan sepenuhnya ada di tangan Anda.

⚠️ Disclaimer: Artikel ini bersifat edukatif, bukan saran keuangan atau investasi personal.