Keamanan kripto: penipuan umum, phishing, rug pull, dan peretasan nyata terhadap bursa

Oleh Unicorn Private Research. Diterbitkan 27 Oktober 2026.

Bagaimana melindungi diri dari penipuan dan peretasan kripto? Sebagian besar kerugian tidak berasal dari jebolnya kriptografi, melainkan dari tipu daya: situs palsu, petugas layanan palsu, platform investasi palsu, dan persetujuan berbahaya. Pertahanan dasarnya sederhana: jangan pernah membagikan frasa pemulihan atau kode masuk, hubungi perusahaan hanya melalui alamat yang Anda ketik atau simpan sendiri, gunakan aplikasi autentikator atau kunci perangkat keras, periksa setiap alamat dan setiap persetujuan sebelum menandatangani, dan anggap setiap janji imbal hasil tetap atau sangat tinggi sebagai tanda bahaya.

Besarnya masalah

Internet Crime Complaint Center (IC3) milik FBI menerima 181.565 pengaduan terkait mata uang kripto pada 2025, dengan kerugian yang dilaporkan sekitar 11,4 miliar dolar, naik 22% dibanding 2024; penipuan investasi kripto saja mencapai sekitar 7,2 miliar dolar, dan kerugian melalui ATM kripto mencapai 389 juta dolar (laporan IC3 2025, terbit April 2026, menurut ringkasan The Block). Ditambah lagi pencurian dari platform: Chainalysis menghitung sekitar 2,17 miliar dolar dicuri dari layanan kripto hanya pada paruh pertama 2025 (laporan tengah tahun Chainalysis, Juli 2025).

Penipuan yang paling sering terjadi

• Penipuan investasi: kenalan dari media sosial, aplikasi kencan, atau grup pesan menunjukkan keuntungan di platform yang tampak profesional, mendorong setoran makin besar, lalu memblokir penarikan atau meminta biaya dan pajak untuk membukanya. Ini kategori terbesar dalam data IC3.
• Phishing: email, SMS, dan hasil pencarian bersponsor yang meniru halaman bursa atau dompet untuk mencuri data masuk, kode, atau frasa pemulihan.
• Layanan palsu: akun media sosial atau panggilan telepon yang mengaku sebagai petugas layanan, sering setelah korban bertanya secara terbuka, yang meminta akses jarak jauh, kode, atau transfer ke dompet yang katanya aman.
• Persetujuan berbahaya dan wallet drainer: situs meminta Anda menandatangani transaksi atau izin yang memungkinkan sebuah kontrak memindahkan token Anda.
• Peracunan alamat: penipu mengirim jumlah sangat kecil dari alamat yang mirip dengan alamat yang Anda gunakan, berharap Anda menyalinnya dari riwayat.
• Rug pull: pembuat token atau proyek menarik dana lalu menarik likuiditas atau menjual kepemilikan mereka, sehingga pembeli memegang token yang tidak dapat dijual dengan harga berarti.
• Hadiah dan airdrop palsu: janji melipatgandakan kiriman Anda, atau token yang mengharuskan Anda menghubungkan dompet untuk mengklaimnya.
• Penipuan pemulihan: setelah mengalami kerugian, seseorang menawarkan untuk memulihkan dana dengan biaya di muka.

Melindungi akun

• Gunakan kata sandi panjang dan unik untuk setiap bursa dan email yang terhubung, disimpan di pengelola kata sandi.
• Utamakan aplikasi autentikator atau kunci keamanan fisik daripada kode SMS yang rentan terhadap penukaran SIM; minta operator Anda mengunci perpindahan nomor.
• Aktifkan daftar alamat penarikan yang diizinkan dan kode anti-phishing jika bursa menyediakannya.
• Buka bursa hanya dengan mengetik alamatnya atau dari penanda yang disimpan, bukan dari iklan atau tautan yang diterima.
• Perbarui perangkat, pasang dompet dan ekstensi hanya dari toko dan tautan resmi, dan hapus ekstensi yang tidak dipakai.

Melindungi frasa pemulihan dan dompet non-kustodian

• Tulis frasa pemulihan secara offline, di kertas atau logam, dan jangan pernah memotretnya atau menyimpannya di awan.
• Jangan pernah mengetiknya di situs web atau formulir: dompet hanya memintanya ketika Anda memulihkannya di perangkat sendiri.
• Periksa alamat tujuan lengkap, jaringan, dan jumlah di layar perangkat sebelum mengonfirmasi.
• Baca apa yang Anda tandatangani; cabut persetujuan token lama yang tidak lagi diperlukan.
• Simpan kepemilikan besar di penyimpanan dingin atau susunan multitanda tangan, dan gunakan dompet panas terpisah untuk keperluan sehari-hari.

Serangan nyata terhadap bursa dan dompet

• Bybit, 21 Februari 2025: ether senilai sekitar 1,5 miliar dolar dicuri dari dompet dingin saat transfer rutin; pada 26 Februari 2025 FBI mengaitkan pencurian itu dengan pelaku Korea Utara yang dikenal sebagai TraderTraitor (FBI IC3). Chainalysis memperkirakan jumlah itu sekitar 69% dari dana yang dicuri dari layanan pada paruh pertama 2025.
• Coinbase, Mei 2025: pelaku kejahatan menyuap kontraktor layanan pelanggan di luar Amerika Serikat untuk mendapatkan data nasabah, lalu menyamar sebagai Coinbase agar nasabah mengirim dana; perusahaan menolak tebusan 20 juta dolar dan memperkirakan biaya 180 hingga 400 juta dolar (formulir 8-K yang diajukan ke SEC, Mei 2025). Kata sandi dan kunci privat tidak terekspos.
• Trust Wallet, Desember 2025: versi 2.68 ekstensi peramban yang berbahaya, diterbitkan dengan kredensial toko yang bocor, menguras dompet sekitar 7 juta dolar; perusahaan mengumumkan penggantian (The Block, Desember 2025).
• Ledger, Juni 2020: pembobolan basis data e-commerce membuka sekitar 1 juta alamat email dan data 9.500 pelanggan, yang kemudian dipakai untuk surat dan email phishing; perangkat dan dana tidak terdampak (Ledger, Juli 2020).
• FTX, November 2022: bukan peretasan, melainkan runtuhnya bursa yang menurut gugatan SEC tanggal 13 Desember 2022 telah mengalihkan dana nasabah. Ini mengingatkan bahwa risiko kustodi mencakup penyimpangan, bukan hanya serangan.

Jika terjadi masalah

Bertindaklah cepat: pindahkan dana yang tersisa ke dompet baru dengan frasa pemulihan baru, ganti kata sandi, cabut persetujuan, hubungi bursa melalui saluran resmi, dan laporkan ke polisi serta, di Amerika Serikat, ke ic3.gov. Simpan hash transaksi dan tangkapan layar. Waspadai siapa pun yang menghubungi Anda sesudahnya dengan janji memulihkan uang Anda dengan bayaran.

Keamanan dan Unicorn Club

Aturan yang sama berlaku untuk setiap pembayaran kripto kepada pihak lawan: konfirmasi alamat melalui saluran terverifikasi dan, bila ragu, kirim dulu jumlah uji coba yang kecil. Unicorn Club, klub untuk investor terakreditasi yang diselenggarakan Unicorn Private LLC, menerima BTC, ETH, USDT, dan USDC (ERC-20) untuk club deal pra-IPO; panduan tentang cara berinvestasi di perusahaan pra-IPO dengan kripto menjelaskan cara pembayaran dikonfirmasi.

Pertanyaan umum

Apakah kripto yang dicuri bisa dikembalikan?

Kadang-kadang, ketika dana masuk ke bursa yang membekukannya atas permintaan penegak hukum, tetapi dalam banyak kasus transfer yang sudah dikonfirmasi tidak dapat dibatalkan. Pencegahan lebih penting daripada pemulihan.

Bagaimana mengenali platform investasi palsu?

Tanda bahaya: imbal hasil yang tampak dijamin, tekanan untuk menyetor lebih banyak, kontak yang belum pernah Anda temui langsung, penarikan yang memerlukan biaya tambahan, dan perusahaan yang tidak tercantum di daftar regulator mana pun.

Apakah dompet perangkat keras sudah cukup?

Dompet ini melindungi kunci privat dari malware, tetapi tidak mencegah Anda membuka frasa pemulihan atau menyetujui transaksi berbahaya. Perlindungannya bekerja bersama kebiasaan yang baik.

Panduan terkait

• Cara berinvestasi di perusahaan pra-IPO dengan aset kripto melalui Unicorn Club
• ETF bitcoin dan ether serta cara tidak langsung lain untuk berinvestasi di kripto
• Penjelasan dompet kripto: kustodian dan non-kustodian, panas dan dingin, frasa pemulihan
• Cara membeli kripto pertama Anda, langkah demi langkah
• Apa itu club deal? Cara kerja club deal pra-IPO

Sumber

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022