Seorang pengguna kripto telah kehilangan sekitar 100.000 USDT setelah mentransfer dana ke alamat dompet serupa yang sengaja disisipkan di riwayat transaksi korban 66 hari sebelumnya.
Cyvers Alerts melaporkan pada 11 Agustus bahwa sistem pemantauannya mendeteksi kerugian tersebut setelah korban mengirim dana ke alamat yang dikendalikan oleh penyerang.
Sekitar 66 hari sebelum pencurian, penyerang mengirimkan transaksi yang melibatkan dompet korban, menurut Cyvers. Aktivitas tersebut menempatkan alamat berbahaya di riwayat transaksi dompet, di mana alamat tersebut tampak mirip dengan alamat yang pernah digunakan korban untuk transfer normal.
Ketika korban kemudian menyiapkan pembayaran 100.000 USDT, Cyvers mengatakan pengguna mengandalkan catatan historis tanpa membandingkan alamat tujuan yang lengkap. Akibatnya, dana tersebut masuk ke alamat yang mirip alih-alih penerima yang dituju.
Address poisoning tidak memerlukan penyerang untuk mendapatkan kunci privat, mengkompromikan smart contract, atau mengambil kendali dompet korban. Sebaliknya, metode ini bergantung pada panjang dan format alamat blockchain, yang banyak dompet dan penjelajah blok persingkat dengan hanya menampilkan karakter pertama dan terakhirnya.
Penyerang membuat alamat yang cocok dengan bagian yang terlihat dari alamat asli penerima dan kemudian menggunakan transfer kecil atau bernilai nol untuk menempatkan tiruan tersebut dalam catatan transaksi target. Pengguna yang hanya memeriksa karakter pembuka dan penutup dapat memilih dompet penyerang meskipun deretan karakter lengkapnya berbeda.
Dalam kasus terbaru, Cyvers mengaitkan kerugian tersebut dengan kegagalan korban untuk memeriksa alamat lengkap. Perusahaan keamanan menyarankan pengguna untuk tidak memperlakukan riwayat transaksi sebagai buku alamat terpercaya dan merekomendasikan untuk memverifikasi setiap karakter sebelum menyetujui pembayaran on-chain.
Setelah transfer, penyerang menukar USDT yang dicuri dengan Ethereum, lapor Cyvers. Dompet penerima menyimpan sekitar 52,8 ETH ketika perusahaan keamanan tersebut menerbitkan peringatannya.
Cyvers mengatakan konversi tersebut tampaknya dirancang untuk mengurangi risiko stablecoin yang dicuri dapat dibekukan. USDT diterbitkan oleh Tether melalui smart contract yang memungkinkan alamat tertentu untuk diblokir, sementara ETH native tidak memiliki penerbit dengan fungsi pembekuan yang setara.
Konversi tersebut juga berarti nilai aset yang dimiliki penyerang dapat berubah sesuai dengan harga pasar ETH. Cyvers tidak melaporkan adanya pemulihan, perjanjian pengembalian, atau intervensi bursa dalam peringatan awalnya, pun tidak mengidentifikasi korban secara publik.
Tidak ada bukti yang dikutip dalam peringatan yang menunjukkan bahwa cacat pada Tether, Ethereum, atau perangkat lunak dompet korban menyebabkan transfer tersebut. Cyvers justru menggambarkan insiden tersebut sebagai serangan rekayasa sosial yang menggunakan catatan alamat palsu untuk mengeksploitasi kebiasaan pembayaran korban.
Insiden $100.000 ini menyusul beberapa kasus yang lebih besar dengan metode yang sama. Pada bulan Februari, crypto.news sebelumnya melaporkan bahwa dua pengguna telah kehilangan gabungan $62 juta setelah menyalin alamat penipuan dari riwayat transaksi mereka.
Scam Sniffer mengaitkan sekitar $50 juta dari total tersebut dengan insiden Desember 2025, sementara korban lain kehilangan sekitar $12,25 juta, atau sekitar 4.556 ETH pada saat itu, pada Januari 2026. Perusahaan keamanan mengatakan penyerang secara diam-diam menyisipkan alamat serupa ke dalam catatan aktivitas terbaru kedua korban.
Selama kasus Desember, seorang pemegang stablecoin pertama kali mengirim pembayaran uji 50 USDT ke tujuan yang benar. Penyerang kemudian menyisipkan alamat penipuan ke dalam riwayat dengan transaksi debu 0,005 USDT, setelah itu korban secara keliru mengirim 49.999.950 USDT ke alamat yang terkontaminasi.
Aset yang dicuri dikonversi menjadi ETH dan disebarkan ke beberapa dompet, menurut laporan sebelumnya tentang pencurian tersebut. Korban kemudian menawarkan hadiah $1 juta kepada penyerang untuk pengembalian dana yang tersisa dan mengancam akan melibatkan penegak hukum internasional.
Biaya transaksi yang rendah juga membuat kampanye poisoning otomatis lebih murah untuk dioperasikan. Scam Sniffer mengatakan pada bulan Februari bahwa jutaan transaksi debu dikirim setiap hari, banyak di antaranya dibuat untuk persiapan kemungkinan pencurian di masa mendatang daripada memindahkan dana antar pengguna asli.
Pada bulan Maret, seorang pengguna stablecoin melaporkan menerima 89 peringatan poisoning dalam waktu 30 menit setelah menyelesaikan hanya dua transfer yang sah. Mantan CEO Binance Changpeng Zhao kemudian mengkritik penjelajah transaksi yang terus menampilkan entri berbahaya tersebut.
Untuk pengguna AS, address poisoning termasuk dalam kategori penipuan aset digital yang berkembang yang ingin diatasi oleh anggota parlemen melalui koordinasi antarlembaga. Senator Elissa Slotkin dan Jerry Moran memperkenalkan undang-undang bipartisan Strengthening Agency Frameworks for Enforcement of Cryptocurrency Act, yang dikenal sebagai SAFE Crypto Act, pada tahun 2025.
Menurut sponsor RUU tersebut, undang-undang yang diusulkan akan membentuk satuan tugas federal yang berfokus pada identifikasi, pemantauan, dan pencegahan penipuan kripto. Anggotanya akan mencakup perwakilan dari lembaga pemerintah, penegak hukum, perusahaan aset digital, penerbit stablecoin, perusahaan intelijen blockchain, dan organisasi perlindungan konsumen.
Proposal tersebut mencakup beberapa bentuk kejahatan kripto, termasuk penipuan investasi, pencucian uang, skema Ponzi, rug pull, dan penjualan token penipuan. Sponsor mengatakan satuan tugas akan memeriksa pola penipuan dan meningkatkan koordinasi antara otoritas federal dan spesialis sektor swasta.
RUU tersebut tidak menciptakan program penggantian rugi bagi pengguna yang secara keliru mengotorisasi transfer yang tidak dapat dibatalkan. Seperti yang dijelaskan dalam liputan sebelumnya, satuan tugas yang diusulkan akan berfokus pada deteksi, gangguan, dan kerja sama antara lembaga dan peserta industri.
Cyvers menyarankan pengguna untuk membandingkan alamat dompet lengkap daripada mengandalkan catatan yang diperpendek di riwayat transaksi. Untuk transfer besar, spesialis keamanan juga merekomendasikan untuk mengkonfirmasi tujuan melalui saluran komunikasi terpisah dan mengirimkan sejumlah kecil sebagai uji coba sebelum memindahkan sisa saldo.
Pembayaran uji coba saja mungkin tidak mencegah serangan poisoning, seperti yang ditunjukkan oleh pencurian Desember 2025. Karena penyerang dapat menyisipkan alamat serupa segera setelah uji coba, pengirim harus memverifikasi bahwa alamat yang digunakan untuk transfer utama identik dengan yang digunakan untuk transaksi uji coba.
Daftar putih alamat (address whitelists) dapat menambahkan pemeriksaan lain dengan membatasi penarikan ke tujuan yang disetujui sebelumnya. Dompet perangkat keras (hardware wallets) juga dapat menampilkan detail transaksi sebelum penandatanganan, meskipun pengguna tetap harus membaca dan membandingkan tujuan yang ditampilkan pada perangkat.
Antarmuka dompet dan penjelajah blockchain telah mulai menyaring entri mencurigakan, tetapi perlindungannya bervariasi di setiap platform. Sebuah laporan Maret menemukan bahwa Etherscan menyembunyikan transfer bernilai nol secara default, sementara BscScan dan Basescan mengharuskan pengguna untuk mengaktifkan opsi "hide 0 amount tx" untuk menghapus catatan tersebut dari tampilan.
