Panduan Keamanan Transaksi Web3: Praktik Kunci untuk Melindungi aset digital

Seiring dengan perkembangan ekosistem blockchain yang terus berlangsung, transaksi di blockchain telah menjadi bagian yang tak terpisahkan dari kehidupan sehari-hari pengguna Web3. Aset pengguna sedang berpindah dari platform terpusat ke jaringan terdesentralisasi dengan cepat, yang berarti tanggung jawab keamanan aset juga secara bertahap berpindah dari platform ke pengguna itu sendiri. Dalam lingkungan blockchain, setiap langkah operasi harus direspons oleh pengguna sendiri, baik itu mengimpor dompet, mengakses aplikasi, atau menandatangani otorisasi dan memulai transaksi, setiap tindakan ceroboh dapat memicu risiko keamanan, yang dapat menyebabkan kebocoran kunci privat, penyalahgunaan otorisasi, atau serangan phishing yang serius.

Meskipun saat ini plugin dompet dan browser utama secara bertahap telah mengintegrasikan fungsi pengenalan phishing, peringatan risiko, dan sebagainya, namun menghadapi teknik serangan yang semakin kompleks, hanya mengandalkan pertahanan pasif dari alat masih sulit untuk sepenuhnya menghindari risiko. Untuk membantu pengguna lebih baik dalam mengidentifikasi risiko potensial dalam transaksi di blockchain, kami berdasarkan pengalaman nyata, menyusun seluruh proses skenario risiko tinggi, dan menggabungkannya dengan saran perlindungan serta teknik penggunaan alat, merumuskan panduan keamanan transaksi di blockchain yang sistematis, bertujuan untuk membantu setiap pengguna Web3 membangun garis pertahanan keamanan yang "dapat dikendalikan secara mandiri".

Prinsip inti dari perdagangan yang aman:

• Tolak tanda tangan buta: Jangan sekali-kali menandatangani transaksi atau pesan yang tidak dipahami.
• Verifikasi Berulang: Sebelum melakukan transaksi apapun, pastikan untuk memverifikasi akurasi informasi terkait beberapa kali.

I. Saran Perdagangan Aman

Kunci untuk melindungi aset digital adalah transaksi yang aman. Penelitian menunjukkan bahwa menggunakan dompet yang aman dan autentikasi dua faktor (2FA) dapat secara signifikan mengurangi risiko. Berikut adalah saran konkret:

• Pilih dompet yang aman:

Utamakan penyedia dompet yang memiliki reputasi baik, seperti dompet perangkat keras atau dompet perangkat lunak yang terkenal. Dompet perangkat keras menyediakan fungsi penyimpanan offline, yang secara efektif mengurangi risiko serangan online, terutama cocok untuk menyimpan aset digital dalam jumlah besar.

• Periksa detail transaksi dengan cermat:

Sebelum mengonfirmasi transaksi, pastikan untuk memverifikasi alamat penerima, jumlah, dan jaringan (seperti memastikan menggunakan rantai yang benar), untuk menghindari kerugian akibat kesalahan input.

• Aktifkan autentikasi dua faktor (2FA):

Jika platform perdagangan atau dompet mendukung 2FA, sangat disarankan untuk mengaktifkannya guna meningkatkan keamanan akun, terutama saat menggunakan dompet panas.

• Jauhkan diri dari Wi-Fi publik:

Hindari melakukan transaksi di jaringan Wi-Fi publik untuk mencegah serangan phishing dan serangan man-in-the-middle.

Dua, bagaimana cara melakukan transaksi yang aman

Proses transaksi aplikasi terdesentralisasi yang lengkap terdiri dari beberapa tahap: instalasi dompet, akses aplikasi, menghubungkan dompet, tanda tangan pesan, tanda tangan transaksi, dan pemrosesan pasca-transaksi. Setiap tahap memiliki risiko keamanan tertentu, berikut akan dijelaskan secara rinci tentang perhatian yang perlu diperhatikan dalam praktik.

1. Instal Dompet：

Saat ini, aplikasi terdesentralisasi terutama berinteraksi melalui dompet plugin browser. Dompet utama yang umum digunakan untuk rantai yang kompatibel dengan EVM mencakup beberapa pilihan.

Saat menginstal dompet plugin Chrome, pastikan untuk mengunduh dan menginstal dari Toko Aplikasi resmi Chrome, hindari menginstal dari situs pihak ketiga untuk mencegah instalasi perangkat lunak dompet yang memiliki pintu belakang. Pengguna yang memungkinkan disarankan untuk menggunakan dompet perangkat keras bersamaan, untuk lebih meningkatkan keamanan pengelolaan kunci pribadi secara keseluruhan.

Saat menginstal kata sandi cadangan dompet (biasanya frasa pemulihan 12-24 kata), disarankan untuk menyimpannya di tempat aman secara offline, jauh dari perangkat digital (misalnya, menulisnya di kertas dan menyimpannya di brankas).

2. Akses aplikasi terdesentralisasi

Phishing web adalah metode umum dalam serangan Web3. Kasus tipikal adalah mengundang pengguna untuk mengunjungi aplikasi phishing dengan dalih airdrop, setelah pengguna menghubungkan dompet mereka, mereka akan diarahkan untuk menandatangani otorisasi token, transaksi transfer, atau tanda tangan otorisasi token, yang mengakibatkan kehilangan aset.

Oleh karena itu, saat mengakses aplikasi terdesentralisasi, pengguna perlu tetap waspada tinggi untuk menghindari terjebak dalam perangkap phishing web.

Sebelum mengakses aplikasi, pastikan keakuratan alamat situs web. Saran:

• Hindari mengakses secara langsung melalui mesin pencari: Penyerang phishing mungkin meningkatkan peringkat situs phishing mereka dengan membeli ruang iklan.
• Hindari mengklik tautan di media sosial: URL yang diposting dalam komentar atau pesan mungkin adalah tautan phishing.
• Periksa kembali keakuratan URL aplikasi: Dapat memverifikasi melalui beberapa platform yang tepercaya.
• Tambahkan situs web aman ke favorit browser: Akses langsung dari favorit di kemudian hari.

Setelah membuka halaman aplikasi, perlu juga melakukan pemeriksaan keamanan pada bilah alamat:

• Periksa apakah ada kebingungan kesamaan antara nama domain dan URL.
• Pastikan itu adalah tautan HTTPS, browser harus menampilkan ikon kunci 🔒.

Saat ini, dompet plugin utama di pasar juga telah mengintegrasikan beberapa fungsi peringatan risiko, yang dapat menampilkan peringatan kuat saat mengakses situs web berisiko.

3. Menghubungkan dompet

Setelah masuk ke aplikasi, mungkin akan secara otomatis atau setelah mengklik untuk menghubungkan akan memicu operasi menghubungkan dompet. Dompet plugin akan melakukan beberapa pemeriksaan, menampilkan informasi, dll. untuk aplikasi yang sedang digunakan.

Setelah menghubungkan dompet, biasanya aplikasi tidak akan secara aktif memanggil dompet plugin jika pengguna tidak melakukan operasi lain. Jika situs web sering memanggil dompet untuk meminta tanda tangan pesan, menandatangani transaksi, bahkan setelah menolak tanda tangan, situasi tersebut mungkin merupakan situs phishing, dan perlu ditangani dengan hati-hati.

4. Tanda Tangan Pesan

Dalam situasi ekstrem, jika penyerang berhasil meretas situs resmi protokol atau mengganti konten halaman melalui serangan seperti peretasan frontend, pengguna biasa akan kesulitan untuk menilai keamanan situs dalam skenario ini.

Pada saat ini, tanda tangan dompet plugin adalah garis pertahanan terakhir bagi pengguna untuk melindungi aset digital mereka. Selama menolak tanda tangan yang berniat jahat, mereka dapat memastikan bahwa aset digital mereka tidak mengalami kerugian. Pengguna harus dengan cermat memeriksa konten tanda tangan saat menandatangani pesan dan transaksi, menolak tanda tangan buta, untuk menghindari kerugian aset.

Jenis tanda tangan yang umum termasuk:

• eth_sign: Menandatangani data hash.
• personal_sign: Menandatangani informasi dalam bentuk plaintext, paling umum digunakan saat verifikasi login pengguna atau konfirmasi perjanjian izin.
• eth_signTypedData (EIP-712): tanda tangan untuk data terstruktur, biasanya digunakan untuk interaksi dengan token tertentu.

5: Tanda Tangan Transaksi

Tanda tangan transaksi digunakan untuk mengautorisasi transaksi blockchain, seperti pengalihan dana atau pemanggilan kontrak pintar. Pengguna menandatangani dengan kunci pribadi, dan jaringan memverifikasi kevalidan transaksi. Saat ini, banyak dompet plugin akan mendekode pesan yang akan ditandatangani dan menampilkan konten terkait, pastikan untuk mengikuti prinsip tidak menandatangani secara buta, saran keamanan:

• Periksa dengan teliti alamat penerima, jumlah, dan jaringan untuk menghindari kesalahan.
• Transaksi besar disarankan untuk menandatangani secara offline, mengurangi risiko serangan online.
• Perhatikan biaya gas, pastikan wajar, hindari penipuan.

Untuk pengguna yang memiliki cadangan teknologi tertentu, mereka juga dapat menggunakan beberapa metode pemeriksaan manual yang umum: dengan menyalin alamat kontrak interaksi target ke dalam penjelajah blockchain untuk diperiksa, konten yang diperiksa terutama termasuk apakah kontrak bersifat open source, apakah ada transaksi besar-besaran baru-baru ini, dan apakah alamat tersebut telah diberi label resmi atau label jahat, dan lain-lain.

6. Proses Pasca Transaksi

Menghindari halaman phishing dan tanda tangan jahat tidak berarti sepenuhnya aman, manajemen risiko tetap diperlukan setelah transaksi.

Setelah transaksi, Anda harus segera memeriksa status on-chain dari transaksi tersebut untuk memastikan bahwa statusnya sesuai dengan yang diharapkan saat penandatanganan. Jika menemukan anomali, segera lakukan operasi pengurangan kerugian seperti pemindahan aset atau pencabutan otorisasi.

Manajemen otorisasi token juga sangat penting. Dalam beberapa kasus, setelah pengguna memberikan otorisasi token untuk kontrak tertentu, bertahun-tahun kemudian kontrak tersebut diserang, dan penyerang memanfaatkan kuota otorisasi token dari kontrak yang diserang untuk mencuri dana pengguna. Untuk menghindari situasi seperti ini, kami menyarankan pengguna untuk mengikuti standar berikut untuk pencegahan risiko:

• Minimalkan otorisasi. Saat melakukan otorisasi token, jumlah token yang diotorisasi harus dibatasi sesuai dengan kebutuhan transaksi. Jika suatu transaksi memerlukan otorisasi 100 token, maka jumlah otorisasi kali ini dibatasi menjadi 100, dan jangan menggunakan otorisasi tidak terbatas default.
• Segera batalkan otorisasi token yang tidak diperlukan. Pengguna dapat masuk ke alat terkait untuk memeriksa status otorisasi alamat yang sesuai, membatalkan otorisasi protokol yang tidak berinteraksi dalam waktu lama, untuk mencegah protokol memiliki kerentanan yang dapat menyebabkan kerugian aset akibat penggunaan kuota otorisasi pengguna.

Tiga, Strategi Pemisahan Dana

Dalam kondisi memiliki kesadaran risiko dan telah melakukan pencegahan risiko yang cukup, juga disarankan untuk melakukan pemisahan dana yang efektif, agar dapat mengurangi tingkat kerugian dana dalam situasi ekstrem. Strategi yang direkomendasikan adalah sebagai berikut:

• Gunakan dompet multi-tanda tangan atau dompet dingin untuk menyimpan aset digital dalam jumlah besar;
• Menggunakan dompet plugin atau dompet biasa sebagai dompet panas untuk interaksi sehari-hari;
• Secara berkala mengganti alamat dompet panas, untuk mencegah alamat terus terpapar di lingkungan berisiko.

Jika Anda tidak beruntung mengalami situasi phishing, disarankan untuk segera mengambil langkah-langkah berikut untuk mengurangi kerugian:

• Gunakan alat terkait untuk membatalkan otorisasi berisiko tinggi;
• Jika tanda tangan tertentu telah ditandatangani tetapi aset belum dipindahkan, Anda dapat segera memulai tanda tangan baru untuk membuat tanda tangan lama tidak berlaku;
• Jika perlu, segera pindahkan aset yang tersisa ke alamat baru atau dompet dingin.

Empat, bagaimana berpartisipasi dalam kegiatan airdrop dengan aman

Airdrop adalah cara umum untuk mempromosikan proyek blockchain, tetapi di dalamnya juga terdapat risiko. Berikut adalah beberapa saran:

• Penelitian latar belakang proyek: memastikan proyek memiliki whitepaper yang jelas, informasi tim yang terbuka, dan reputasi komunitas;
• Gunakan alamat khusus: Daftarkan dompet dan email khusus untuk mengisolasi risiko akun utama;
• Hati-hati klik tautan: hanya dapatkan informasi airdrop melalui saluran resmi, hindari mengklik tautan mencurigakan di platform sosial;

Lima, Rekomendasi Pemilihan dan Penggunaan Alat Plugin

Ada banyak konten dalam pedoman keamanan blockchain, mungkin tidak setiap interaksi dapat diperiksa secara rinci. Memilih plugin yang aman sangat penting, dapat membantu kita dalam membuat penilaian risiko. Berikut adalah saran spesifik:

• Ekstensi tepercaya: Gunakan ekstensi browser yang banyak digunakan oleh orang-orang. Plugin ini menyediakan fungsi dompet dan mendukung interaksi dengan aplikasi terdesentralisasi.
• Periksa peringkat: Sebelum menginstal plugin baru, periksa peringkat pengguna dan jumlah pemasangan. Peringkat tinggi dan banyak pemasangan biasanya menunjukkan bahwa plugin lebih dapat diandalkan, mengurangi risiko kode berbahaya.
• Tetap diperbarui: Perbarui plugin Anda secara berkala untuk mendapatkan fitur keamanan dan perbaikan terbaru. Plugin yang kedaluwarsa mungkin mengandung kerentanan yang diketahui, sehingga mudah dimanfaatkan oleh penyerang.

Enam, Kesimpulan

Dengan mengikuti panduan transaksi aman di atas, pengguna dapat berinteraksi dengan lebih tenang dalam ekosistem blockchain yang semakin kompleks, secara nyata meningkatkan kemampuan perlindungan aset. Meskipun teknologi blockchain memiliki keunggulan inti dalam desentralisasi dan transparansi, ini juga berarti pengguna harus secara mandiri menghadapi berbagai risiko, termasuk phishing tanda tangan, kebocoran kunci pribadi, dan aplikasi berbahaya.

Untuk mencapai keamanan yang sebenarnya saat melakukan on-chain, hanya bergantung pada alat peringatan tidaklah cukup; membangun kesadaran keamanan sistematis dan kebiasaan operasional adalah kuncinya. Dengan menggunakan dompet perangkat keras, menerapkan strategi pemisahan dana, secara berkala memeriksa otorisasi dan memperbarui plugin, serta menerapkan prinsip "verifikasi ganda, menolak tanda tangan buta, pemisahan dana" dalam operasi transaksi, baru bisa benar-benar mencapai "on-chain dengan bebas dan aman".