Address poisoning: periksa penerima sebelum mengirim

Untuk menghindari address poisoning, dapatkan alamat penerima secara independen dan bandingkan tujuan lengkap sebelum mengonfirmasi. Jangan menggunakan kembali alamat hanya karena baris transaksi terbaru terlihat familier. Entri riwayat menunjukkan bahwa aktivitas tercatat; entri itu tidak membuktikan bahwa alamat tersebut milik orang yang ingin Anda bayar.

Panduan ini memberikan pemeriksaan penerima yang dapat diulang. Panduan ini tidak meminta Anda memindahkan dana, menandatangani transaksi uji, atau berinteraksi dengan token yang tidak dikenal.

Mengapa alamat di riwayat bisa terlihat benar

Dalam penipuan address poisoning, penyerang membuat alamat tiruan dan memasukkannya ke riwayat transaksi Anda melalui transfer bernilai sangat kecil atau nol. Tujuannya adalah agar Anda menyalin alamat tersebut untuk pembayaran berikutnya. Penjelasan MetaMask menjelaskan mekanisme ini dan memperingatkan agar tidak mengandalkan kesamaan bagian awal dan akhir: bagian tengahnya bisa berbeda.

Menerima entri seperti itu saja tidak menunjukkan bahwa kunci penandatanganan Anda telah disusupi. Bahayanya terletak pada tujuan yang Anda pilih berikutnya.

Bayangkan dua label yang dipendekkan:

• Penerima yang dimaksud: SAME-START [bagian tengah terverifikasi] SAME-END
• Alamat tiruan: SAME-START [bagian tengah berbeda] SAME-END

Ini adalah label simbolis, bukan alamat dompet. Jika antarmuka menyembunyikan bagian tengah, kedua baris bisa sama-sama terlihat familier. Memperluas baris menampilkan lebih banyak karakter, tetapi Anda tetap memerlukan acuan independen untuk mengetahui alamat lengkap mana yang dimaksud.

Siapkan acuan penerima sebelum membuka Kirim

Tuliskan tujuan transfer dengan bahasa sederhana: dompet penerima milik Anda sendiri, dompet orang tertentu, atau setoran ke akun Anda di suatu layanan. Tujuan tersebut menentukan sumber acuan yang perlu digunakan.

Tujuan yang dimaksud	Acuan independen
Dompet Anda sendiri	Alamat penerimaan lengkapnya
Orang lain	Alamat yang dikonfirmasi melalui saluran kontak yang dikenal
Setoran ke layanan	Halaman setoran terkini di dalam akun resmi

Untuk orang lain, ajukan pertanyaan yang spesifik: “Apakah ini alamat penerimaan Anda untuk jaringan ini?” Kirim alamat calon tujuan secara lengkap melalui saluran yang sudah Anda gunakan bersama mereka. Balasan dari akun yang tidak dikenal tidak mengonfirmasi bahwa Anda sedang berbicara dengan kontak yang sudah Anda kenal.

Untuk layanan, baca petunjuk terkini bersama alamatnya. Periksa aset dan jaringan yang dipilih, serta informasi tujuan tambahan apa pun yang diwajibkan layanan. Nama akun yang familier atau tangkapan layar setoran lama tidak dapat menyelesaikan ketidaksesuaian dengan petunjuk hari ini. Jika tujuan masih tidak jelas, berhenti sebelum membuat transfer.

Jika penerima memakai nama yang mudah dibaca, panduan nama ENS ke alamat kami menjelaskan cara memeriksa catatan alamat yang relevan. Pencarian nama dan verifikasi orang yang dimaksud adalah dua pemeriksaan terpisah.

Bandingkan alamat lengkap setelah menempelkan

Pastikan acuan independen tetap tersedia saat menyiapkan transfer. Panduan Trezor juga meminta Anda memeriksa setiap karakter sebelum mengonfirmasi, termasuk jika tujuan adalah dompet Anda sendiri. Ini adalah daftar periksa editorial untuk menerapkan pemeriksaan alamat lengkap, bukan klaim fitur dompet tertentu.

1. Pilih jaringan dan aset yang dimaksud. Pastikan acuan berlaku untuk konteks tujuan yang sama.
2. Tempelkan alamat penerima lengkap dari sumber yang sudah diverifikasi. Perluas kolom tujuan jika hanya menampilkan label yang dipendekkan.
3. Bandingkan setiap bagian nilai yang ditempelkan. Periksa seluruh rangkaian karakter dalam kelompok yang mudah ditangani, termasuk bagian tengahnya. Jangan mengakhiri pemeriksaan hanya karena awalan cocok.
4. Baca konfirmasi akhir. Periksa penerima sebenarnya, jaringan, dan jumlah yang ditampilkan untuk transfer yang akan Anda otorisasi. Jika penerima lengkap tidak tersedia, pemeriksaan ini belum selesai.
5. Berhenti jika ada ketidaksesuaian. Kembali ke sumber tepercaya dan pastikan lagi alamat yang dimaksud. Jangan memilih baris riwayat yang terlihat paling mirip.

MetaMask menyarankan kontak terverifikasi dan menjelaskan tampilan penerima pada dompet perangkat keras sebagai titik pemeriksaan tambahan. Kontak tersimpan berguna hanya setelah alamatnya diperiksa. Tampilan perangkat memberikan tempat lain untuk membandingkan; mengonfirmasi alamat salah yang sama pada dua layar tidak membuktikan bahwa penerimanya benar.

Pisahkan pemeriksaan penerima dari pembersihan portofolio

Entri riwayat yang tidak diinginkan, aset yang tidak diinginkan, dan izin pembelanjaan menimbulkan pertanyaan yang berbeda. Panduan token spam dan NFT kami membahas identitas aset dan pembersihan tampilan. Panduan persetujuan token membahas izin yang dipegang pihak pembelanja. Menyembunyikan baris maupun memutuskan koneksi situs tidak memverifikasi tujuan pembayaran Anda berikutnya.

Owlio membaca kepemilikan aset pada alamat publik. Menambahkan alamat ke pelacak dapat membantu Anda memeriksa dompet yang Anda pilih, tetapi saldonya bukan bukti bahwa dompet tersebut milik penerima yang Anda maksud. Owlio tidak menandatangani atau mengirim transfer Anda, dan panduan ini tidak mengklaim bahwa Owlio mendeteksi entri riwayat yang diracuni.

Jika Anda sudah mengonfirmasi transfer ke alamat yang dicurigai, simpan pengenal transaksi, jaringan, dan tujuan lengkap untuk penyelidikan. Hubungi dompet atau layanan pengirim melalui jalur dukungan resminya. Penyegaran portofolio, perubahan kontak, atau baris yang disembunyikan tidak membatalkan pembayaran yang sudah dikonfirmasi, dan daftar periksa ini tidak dapat menjanjikan pemulihan dana.

Untuk transfer berikutnya, aturan berhenti yang berguna itu sederhana: lanjutkan hanya jika tujuan lengkap dalam konfirmasi pengiriman cocok dengan acuan penerima yang diverifikasi secara independen. Baris riwayat terbaru saja tidak dapat memberikan verifikasi tersebut.