Panduan Keamanan Interaksi Web3 on-chain

Seiring dengan perkembangan terus-menerus dari ekosistem blockchain, transaksi on-chain telah menjadi bagian yang tak terpisahkan dari kehidupan sehari-hari pengguna Web3. Aset pengguna sedang berpindah dari platform terpusat ke jaringan terdesentralisasi, yang berarti tanggung jawab atas keamanan aset secara bertahap beralih dari platform ke pengguna itu sendiri. Dalam lingkungan on-chain, pengguna perlu bertanggung jawab atas setiap langkah yang diambil, baik itu mengimpor dompet, menggunakan DApp, maupun melakukan otorisasi tanda tangan dan memulai transaksi. Setiap kesalahan dapat menjadi risiko keamanan, yang dapat menyebabkan kebocoran kunci pribadi, penyalahgunaan otorisasi, atau serangan phishing yang serius.

Meskipun saat ini plugin dompet utama dan browser telah secara bertahap mengintegrasikan fungsi identifikasi dan peringatan risiko, menghadapi metode serangan yang semakin kompleks, hanya mengandalkan pertahanan pasif dari alat masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih baik dalam mengidentifikasi risiko potensial dalam transaksi on-chain, artikel ini berdasarkan pengalaman praktis, menguraikan skenario risiko tinggi yang sering terjadi sepanjang proses, dan menggabungkan saran perlindungan serta teknik penggunaan alat, menyusun panduan keamanan transaksi on-chain yang sistematis, dengan tujuan membantu setiap pengguna Web3 membangun garis pertahanan yang "dapat dikendalikan sendiri".

Prinsip inti perdagangan yang aman:

• Tolak tanda tangan buta: Jangan tanda tangan pada transaksi atau pesan yang tidak dipahami.
• Verifikasi berulang: Sebelum melakukan transaksi apa pun, pastikan untuk memeriksa keakuratan informasi terkait beberapa kali.

I. Saran untuk Transaksi Aman

Kunci untuk melindungi aset digital adalah transaksi yang aman. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan otentikasi dua faktor (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran spesifik:

• Pilih dompet yang aman: Gunakan penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras atau dompet perangkat lunak terkenal. Dompet perangkat keras menyediakan penyimpanan offline, mengurangi risiko serangan online, dan cocok untuk menyimpan aset dalam jumlah besar.

• Periksa detail transaksi dengan cermat: Sebelum mengonfirmasi transaksi, pastikan untuk memverifikasi alamat penerima, jumlah, dan jaringan (seperti memastikan menggunakan rantai yang benar), untuk menghindari kerugian akibat kesalahan input.

• Aktifkan autentikasi dua faktor: Jika platform perdagangan atau dompet mendukung 2FA, pastikan untuk mengaktifkannya untuk meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Hindari menggunakan Wi-Fi publik: Jangan melakukan transaksi di jaringan Wi-Fi publik, untuk mencegah serangan phishing dan serangan man-in-the-middle.

Dua, Panduan Operasi Transaksi Aman

Proses transaksi DApp yang lengkap mencakup beberapa tahap: instalasi dompet, akses DApp, menghubungkan dompet, penandatanganan pesan, penandatanganan transaksi, dan pemrosesan setelah transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara bertahap perhatian yang perlu diperhatikan dalam operasi nyata.

1. Instal Dompet：

Saat ini, cara utama untuk berinteraksi dengan DApp adalah melalui dompet plugin browser. Dompet yang umum digunakan di EVM chain termasuk beberapa pilihan.

Saat menginstal dompet ekstensi Chrome, pastikan untuk mengunduh dari toko aplikasi resmi, hindari menginstal dari situs pihak ketiga untuk mencegah pemasangan perangkat lunak dompet yang memiliki backdoor. Pengguna yang memungkinkan disarankan untuk menggabungkan penggunaan dompet perangkat keras untuk meningkatkan keamanan pengelolaan kunci pribadi.

Saat mencadangkan frase pemulihan dompet (biasanya terdiri dari 12-24 kata), disarankan untuk menyimpannya di lokasi offline yang aman, jauh dari perangkat digital (seperti menuliskannya di kertas dan menyimpannya di brankas).

2. Mengunjungi DApp

Phishing web adalah metode umum dalam serangan Web3. Kasus tipikalnya adalah mengelabui pengguna untuk mengunjungi DApp phishing dengan dalih airdrop, yang kemudian menyebabkan pengguna menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token setelah menghubungkan dompet mereka, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses DApp, pengguna harus tetap waspada untuk menghindari terjebak dalam perangkap phishing situs web.

Sebelum mengakses DApp, pastikan untuk memverifikasi keakuratan URL. Saran:

• Hindari mengakses secara langsung melalui mesin pencari: Penyerang phishing mungkin meningkatkan peringkat situs phishing mereka dengan membeli ruang iklan.
• Hindari mengklik tautan di media sosial: URL dalam komentar atau pesan mungkin merupakan tautan phishing.
• Verifikasi alamat DApp dari berbagai pihak: dapat diverifikasi melalui pasar DApp, akun media sosial resmi proyek, dan saluran lainnya.
• Tambahkan situs web yang aman ke favorit browser: Akses langsung dari favorit selanjutnya.

Setelah membuka halaman DApp, perlu melakukan pemeriksaan keamanan pada bilah alamat:

• Periksa apakah nama domain dan URL ada yang dipalsukan.
• Pastikan itu adalah tautan HTTPS, browser harus menampilkan simbol kunci🔒.

Saat ini, dompet plugin utama telah mengintegrasikan beberapa fungsi peringatan risiko, yang dapat memberikan peringatan kuat saat mengunjungi situs web berisiko.

3. Menghubungkan Dompet

Setelah memasuki DApp, mungkin akan secara otomatis atau setelah mengklik Connect, operasi sambungan dompet akan dipicu. Dompet plugin akan melakukan beberapa pemeriksaan dan menampilkan informasi mengenai DApp saat ini.

Setelah menghubungkan dompet, biasanya DApp tidak akan secara aktif memicu dompet plugin saat pengguna tidak melakukan operasi lain. Jika situs web sering memicu dompet untuk meminta tanda tangan pesan atau transaksi setelah login, bahkan setelah menolak tanda tangan, dan terus-menerus memunculkan permintaan tanda tangan, kemungkinan itu adalah situs phishing, perlu ditangani dengan hati-hati.

4. Tanda Tangan Pesan

Dalam keadaan ekstrem, seperti jika penyerang menginvasi situs resmi protokol atau mengganti konten halaman melalui serangan seperti peretasan frontend, pengguna biasa akan sulit untuk menentukan keamanan situs tersebut.

Saat ini, tanda tangan dompet plugin menjadi garis pertahanan terakhir untuk melindungi aset pengguna. Selama menolak tanda tangan jahat, kerugian aset dapat dihindari. Pengguna harus memeriksa konten dengan cermat saat menandatangani pesan dan transaksi apa pun, menolak tanda tangan buta, untuk memastikan keamanan aset.

Jenis tanda tangan yang umum termasuk:

• eth_sign: Menandatangani data hash.
• personal_sign: tanda tangan informasi dalam bentuk teks biasa, sering digunakan untuk verifikasi login pengguna atau konfirmasi perjanjian izin.
• eth_signTypedData (EIP-712): Menandatangani data terstruktur, sering digunakan untuk Permit ERC20, pemesanan NFT, dll.

5：Tanda Tangan Transaksi

Tanda tangan transaksi digunakan untuk mengotorisasi transaksi blockchain, seperti pengalihan dana atau pemanggilan kontrak pintar. Pengguna menandatangani dengan kunci pribadi, jaringan memverifikasi keabsahan transaksi. Saat ini banyak dompet plugin yang akan mengurai pesan yang akan ditandatangani dan menampilkan konten terkait, sangat penting untuk mematuhi prinsip tidak menandatangani secara membabi buta, saran keamanan:

• Periksa dengan teliti alamat penerimaan, jumlah dan jaringan, untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menggunakan tanda tangan offline, mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, dan waspadai penipuan.

Untuk pengguna dengan dasar teknis yang baik, beberapa metode pemeriksaan manual juga dapat digunakan: salin alamat kontrak tujuan interaksi ke dalam penjelajah blockchain untuk diperiksa, terutama untuk memeriksa apakah kontrak tersebut bersifat open source, apakah ada banyak transaksi baru-baru ini, dan apakah penjelajah telah menambahkan label resmi atau label berbahaya untuk alamat tersebut.

6. Pemrosesan Pasca Transaksi

Meskipun berhasil menghindari halaman phishing dan tanda tangan berbahaya, manajemen risiko masih perlu dilakukan setelah transaksi.

Setelah transaksi, Anda harus segera memeriksa keadaan on-chain untuk memastikan apakah sesuai dengan harapan saat penandatanganan. Jika ada anomali, segera ambil langkah-langkah untuk memindahkan aset, mencabut otorisasi, dan tindakan mitigasi kerugian lainnya.

Manajemen persetujuan ERC20 juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token pada kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan batas otorisasi untuk mencuri dana pengguna. Untuk menghindari situasi seperti itu, disarankan agar pengguna mengikuti standar berikut untuk pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, jumlah token yang sesuai harus dibatasi sesuai dengan kebutuhan transaksi. Misalnya, jika suatu transaksi memerlukan otorisasi 100 USDT, maka jumlah otorisasi kali ini harus dibatasi pada 100 USDT, bukan menggunakan otorisasi tak terbatas yang default.
• Segera mencabut otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke situs terkait untuk memeriksa status otorisasi alamat, mencabut otorisasi dari protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah munculnya celah pada protokol yang dapat menyebabkan kerugian aset akibat pemanfaatan kuota otorisasi.

Tiga, Strategi Pemisahan Dana

Dengan kesadaran risiko dan persiapan pencegahan yang memadai, disarankan juga untuk menerapkan pemisahan dana yang efektif untuk mengurangi tingkat kerugian dana dalam situasi ekstrem. Strategi yang direkomendasikan adalah sebagai berikut:

• Gunakan dompet multisig atau dompet dingin untuk menyimpan aset dalam jumlah besar;
• Gunakan dompet plugin atau dompet EOA sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala mengganti alamat dompet panas, mengurangi paparan alamat dalam lingkungan berisiko untuk waktu yang lama.

Jika Anda tidak beruntung mengalami phishing, disarankan untuk segera mengambil langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat terkait untuk membatalkan otorisasi berisiko tinggi;
• Jika sudah menandatangani tanda izin tetapi aset belum dipindahkan, Anda dapat segera memulai tanda tangan baru untuk membuat nonce tanda tangan lama menjadi tidak berlaku;
• Jika perlu, segera pindahkan aset yang tersisa ke alamat baru atau dompet dingin.

Empat, Berpartisipasi dengan Aman dalam Kegiatan Airdrop

Airdrop adalah metode promosi yang umum digunakan dalam proyek blockchain, tetapi juga menyimpan risiko. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki whitepaper yang rinci, informasi tim yang terbuka, dan reputasi komunitas yang baik;
• Gunakan alamat khusus: Daftar dompet dan email khusus untuk memisahkan risiko dari akun utama;
• Hati-hati mengklik tautan: hanya dapatkan informasi airdrop melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Lima, Rekomendasi Pemilihan dan Penggunaan Alat Plugin

Aturan keamanan blockchain memiliki banyak konten, yang mungkin sulit untuk diperiksa secara rinci setiap kali berinteraksi. Memilih plugin yang aman sangat penting, yang dapat membantu kita dalam penilaian risiko. Berikut adalah saran konkret:

• Ekstensi yang dapat dipercaya: Menggunakan ekstensi browser yang banyak digunakan. Plugin ini menyediakan fungsi dompet, mendukung interaksi DApp.
• Periksa rating: Sebelum menginstal plugin baru, lihat rating pengguna dan jumlah instalasi. Rating tinggi dan banyak instalasi biasanya menunjukkan bahwa plugin lebih dapat diandalkan, mengurangi risiko kode berbahaya.
• Pembaruan tepat waktu: Perbarui plugin secara berkala untuk mendapatkan fitur keamanan dan perbaikan terbaru. Plugin yang kedaluwarsa mungkin memiliki kerentanan yang diketahui dan mudah dieksploitasi oleh penyerang.

Enam, Kesimpulan

Dengan mengikuti panduan transaksi aman di atas, pengguna dapat berinteraksi dengan lebih tenang dalam ekosistem blockchain yang semakin kompleks, secara efektif meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti berupa desentralisasi dan transparansi, ini juga berarti pengguna harus secara mandiri menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci privat, dan DApp jahat.

Untuk mencapai keamanan yang sebenarnya di on-chain, hanya bergantung pada pengingat alat tidaklah cukup, membangun kesadaran dan kebiasaan operasional yang sistematis adalah kuncinya. Dengan menggunakan dompet keras, menerapkan strategi pemisahan dana, secara teratur memeriksa otorisasi dan memperbarui plugin, serta menerapkan prinsip "verifikasi ganda, menolak tanda tangan buta, pemisahan dana" dalam operasi transaksi, barulah bisa benar-benar mencapai "on-chain dengan bebas dan aman".