Di Balik Layar: Bagaimana Para Penipu Kripto
Mengambil Alih Bing & DuckDuckGo

Dua Vektor Serangan

Penyelidikan kami mengungkap dua operasi yang sama sekali berbeda dan berjalan secara paralel berjalan secara bersamaan untuk mendorong situs-situs phishing ke posisi teratas hasil pencarian Bing dan DuckDuckGo.

Vektor A: Serangan Injeksi pada Halaman Hasil Pencarian Yahoo (SERP)

Ini bisa dibilang merupakan yang paling elegan secara teknis Serangan SEO black-hat yang telah kami dokumentasikan pada tahun 2026. Serangan ini memanfaatkan kelemahan mendasar dalam cara Bing mengevaluasi otoritas tautan — khususnya, ketidakmampuannya membedakan antara tautan editorial yang asli dan halaman hasil pencarian yang dihasilkan secara dinamis dari domain tepercaya.

Skor Otoritas (AS 24) yang diwarisi dari Yahoo mengalir melalui halaman pencarian seluler ke domain phishing — Bing menerima sinyal tersebut sebagai sinyal yang sah

Mekanismenya — Langkah demi Langkah

Langkah 1 — Membuat URL penyedia layanan tepercaya. Para penyerang membuat URL di titik akhir pencarian seluler Yahoo di berbagai subdomain internasional: no.search.yahoo.com (Norwegia), fr.search.yahoo.com (Prancis), mx.search.yahoo.com (Meksiko), pl.search.yahoo.com (Polandia), gr.search.yahoo.com (Yunani), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (Bahasa Prancis Swiss), co.search.yahoo.com (Kolombia). Halaman-halaman ini menampilkan Skor Otoritas yang diwarisi dari Yahoo: 23–24.

Langkah 2 — Menyisipkan tautan phishing. Setiap URL berisi kueri pencarian yang sepenuhnya acak dan tidak mencurigakan — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — namun teks tautannya berbunyi: curvefi.co Curve Finance. Kueri acak ini memastikan bahwa filter spam tidak dapat mendeteksi pola tertentu.

Langkah 3 — Pengindeksan paksa. Para penyerang memaksa Bingbot untuk merayapi URL-URL ini dengan menggunakan layanan ping massal, penyisipan komentar di forum/blog, serta alat pemicu perayapan otomatis.

Bukti Langsung dari SEMrush — curvefi.co

Ironi yang kejam: Situs ini memiliki nol kata kunci organik, nol lalu lintas di basis data SEMrush — namun tetap muncul dalam hasil pencarian Bing/DDG untuk “Curve Finance” berkat otoritas yang dipinjam dari Yahoo.

Vektor B: Jaringan PBN yang Terkoordinasi

Di sinilah penyelidikan ini mulai benar-benar mengkhawatirkan. Lima situs phishing yang berbeda — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at, dan keplr.me — semuanya memiliki kesamaan kumpulan sumber backlink yang identik. Ini bukan kebetulan. Ini adalah satu operasi kejahatan terorganisir menjalankan beberapa kampanye phishing dari satu infrastruktur.

Satu operator, 9 donor PBN, 5 target phishing — kemungkinan hal ini terjadi secara kebetulan sekitar 0,00001%

The Smoking Gun — Infrastruktur Bersama

Profil Domain Phishing

Pabrik Artikel Berbasis Kecerdasan Buatan

Varian aster-dex.at menggunakan sebuah pendekatan hibrida, dengan menggabungkan teknik injeksi Yahoo bersama konten blog yang dihasilkan oleh kecerdasan buatan (AI) yang ditempatkan di situs-situs yang diretas atau dibuat khusus di Vietnam, Italia, Indonesia, dan Swiss.

Artikel yang dihasilkan oleh AI di situs-situs yang diretas — judulnya sama, domainnya berbeda, dan semuanya mengarah ke target phishing yang sama

Semua artikel blog tersebut memiliki judul yang hampir sama: “Mengapa Pertukaran Token dan Kolam Likuiditas Masih Menjadi Tantangan Bahkan bagi Para Pedagang DEX yang Berpengalaman”, “Mengapa Automated Market Makers Masih Mengejutkan Para Pedagang”. Berikut ini adalah Artikel yang dihasilkan oleh AI ditempatkan di situs-situs dengan AS 21–36, yang semuanya tertaut ke aster-dex.at.

Masuknya Komentar Spam

keplr.me mengambil pendekatan yang sama sekali berbeda — spam komentar murni di situs-situs berotoritas tinggi yang tidak terkait. Nama pengguna palsu seperti “ZackaryThymn”, “Fritzkah”, dan “Jamesboach” menyisipkan tautan dompet kripto ke situs-situs pendidikan filsafat (filozofija.edu.rs, AS 45), platform keterlibatan karyawan (bavave.com, AS 63), dan festival seni (lea-festival.com, AS 50).

Situs-situs resmi yang tanpa disadari menampung tautan phishing — yang tersembunyi di antara komentar pengguna yang tampak biasa

Yang Paling Buruk: Spam Alat Otomatis

bscscan.cfd menggunakan metode yang paling kasar: paket backlink massal berbayar dari situs-situs yang namanya benar-benar rankongoogle.agency dan linksjump.click. Semua sumber memiliki nilai AS = 0. TLD .cfd merupakan indikator spam yang sudah dikenal. Namun, di Bing, hal ini bahkan masih sedikit berpengaruh — jumlah tautan berkualitas rendah dapat memengaruhi peringkat pada domain baru yang sama sekali belum memiliki riwayat negatif.

“1.000 Backlink seharga $9,99” — alat penipuan SEO termurah ini masih berfungsi sebagian di Bing

Mengapa Bing dan DuckDuckGo Sangat Rentan

Sistem pertahanan spam berlapis-lapis Google versus sistem deteksi Bing yang masih belum matang — celah yang dimanfaatkan para penipu

Strategi Penargetan Kata Kunci

Profil kata kunci tersebut menunjukkan ketepatan bedah dalam pemilihan kata kunci. Operator tidak hanya menargetkan istilah merek utama, tetapi juga typosquats (“dompet rabbi”, “dompet Rubby”, “dexscrenner”) dan bahkan kueri dalam bahasa Mandarin (“Bursa Aster” peringkat ke-25).

Penargetan multibahasa: Inggris, Prancis, Mandarin, Vietnam — operasi ini mencakup berbagai benua

Konteks Sejarah: Masalah Trust Wallet / DuckDuckGo

Bahkan setelah Trust Wallet tidak lagi menggunakan DDG sebagai pengaturan default, kerentanan yang mendasarinya tetap ada. Setiap pengguna yang secara manual memilih DuckDuckGo demi privasi — sebuah kelompok demografis yang sebagian besar tumpang tindih dengan pengguna kripto — hingga saat ini masih rentan terhadap serangan-serangan seperti ini. Operasi penipuan yang didokumentasikan dalam laporan ini telah menerapkan berbagai variasi teknik ini selama beberapa tahun, sambil beradaptasi seiring mesin pencari secara bertahap memperbaiki kerentanan-kerentanan tersebut satu per satu.

Cara Melindungi Diri Anda

• TIDAK PERNAH hubungkan dompet Anda dari hasil pencarian
• Tandai situs-situs resmi secara langsung
• Gunakan DDG’s !bang pintasan: !g curve finance memaksa pencarian Google
• Pasang ekstensi pendeteksi phishing MetaMask
• Periksa domain apa pun di PhishDestroy sebelum menghubungkan

Rekomendasi untuk Microsoft/Bing

1. Deteksi halaman dinamis: Mengklasifikasikan halaman hasil pencarian (Yahoo, Baidu, Google) dan menghilangkan nilai tautan dari tautan keluar
2. Deteksi PBN yang terkoordinasi: Jika 9 domain menautkan ke 5 situs berbeda dengan pola yang sama, tandai sebagai manipulasi
3. Lapisan peniruan merek: Mendeteksi serangan substitusi TLD (dexscreener.at ≈ dexscreener.com)
4. Pemantauan domain .AT: Pemeriksaan yang lebih ketat terhadap domain .at yang baru terdaftar di hasil pencarian kripto (SERP)
5. Panduan Cepat DuckDuckGo: Buat API khusus untuk penghapusan spam yang dapat diakses langsung oleh DDG

Bukti-buktinya sudah terbuka untuk umum. Nama-nama domain tersebut telah didokumentasikan. Para korbannya nyata. Solusinya ada di tangan Microsoft.

Satu operator. 26 umpan phishing di Bing. Biaya: $2 per domain.

Satu Operator, 26 Domain, Satu Pendaftar Nama Domain

Kami menjalankan kueri RDAP pada seluruh 26 domain phishing tersebut. Semuanya menunjukkan pendaftar yang sama: NiceNIC International Group Co., Limited. Bukan sebagian besar. Bukan mayoritas. Semua 23 dari 23 berhasil diproses — penyedia pendaftaran yang sama, dengan 3 kesalahan batas frekuensi sebelum verifikasi (pola infrastruktur mereka sama).

23 dari 23 telah diperiksa. Pendaftar yang sama. Pelanggan yang sama. Tidak ada tindakan atas penyalahgunaan.

Data Pendaftaran RDAP — Bukti Pendaftaran Massal

Panduan $2 — Langkah demi Langkah

Lupakan SEO yang rumit. Lupakan proses membangun tautan yang memakan waktu berbulan-bulan. Inilah urutan langkah lengkap dan terverifikasi yang mampu menempatkan situs Anda di peringkat #1 di Bing.

Empat langkah, $2, dan Bing menempatkan situs phishing di peringkat #1

Langkah 1: Daftar Typosquat

Langkah 2: Salin Tag Judul ($0, 5 menit)

Operator tersebut menyalin persis <title> tag dan deskripsi meta dari situs web proyek yang sebenarnya. Ini adalah langkah yang paling penting. Halaman itu sendiri adalah program yang menguras dompet atau pencuri frasa benih — tetapi <title> adalah apa yang diurutkan oleh Bing.

Langkah 3: Kirim ke PBN Tersembunyi ($0, 1 menit)

Operator tersebut mengunjungi salah satu dari 15 lokasi PBN (bye.fyi, atomizelink.icu, dll.), mengetikkan nama domain ke dalam kolom bertuliskan “Masukkan URL Anda”, lalu mengklik “Pendekkan.” Satu kali pengiriman akan membuat halaman di ke-15 situs tersebut secara bersamaan — mereka menggunakan satu basis data yang sama.

Langkah 4: Tunggu (2–8 minggu, $0)

Rincian Total Biaya

Di Dalam Mesin Cloaking

Kami telah mengunduh dan menganalisis kode sumber HTML asli dari jaringan PBN tersebut. Setiap halaman di setiap domain menggunakan mesin cloaking yang sama.

Apa yang dilihat pengguna vs. apa yang dilihat Bingbot — z-index: 1000000 Dinding itu menyembunyikan 3.500 tautan

Arsitektur Halaman: 400 KB HTML, lebih dari 3.500 tautan, 4 lapisan

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Bukti: Satu Jaringan, Satu Basis Data

orbit-protocol-lending.net muncul di berbagai domain PBN dengan ID berurutan dari basis data yang sama:

Satu basis data. 15 domain depan. Semua halaman menampilkan konten yang sama dari backend yang sama.

ID yang sama di berbagai “merek” = satu sistem backend, satu operator. 15 domain. Template HTML yang sama. CSS yang sama (style.css). Kode JavaScript yang sama (work.js). Halaman yang sama dengan 3.500 tautan.

PBN Kedua — Jaringan Pemeriksa Domain

Sebuah jaringan tautan terpisah yang lebih agresif menyediakan tautan balik dofollow ke target-target tertentu. Server utama: all-aged-domains.com — sebuah instalasi WordPress 6.6.2 yang menyajikan berkas CSS, JS, dan templat ke 50–80 domain satelit.

Mengapa Bing Terpikat oleh Hal Ini

Robot berlapis baja milik Google mencegah serangan phishing sejak awal. Petugas pintu yang ramah dari Bing menahan pintu agar tetap terbuka.

Kerentanan Pertandingan Perebutan Gelar

app.thnuster.cc memiliki tepat SATU backlink — sebuah halaman SERP Yahoo yang tersimpan dalam cache. Situs ini menempati peringkat #1 di Bing untuk kata kunci “Thruster Finance.” Hal ini membuktikan bahwa peringkat Bing untuk kueri merek dengan tingkat persaingan rendah terutama bergantung pada:

1. Tag judul dengan kecocokan persis untuk kueri pencarian
2. Domain tersebut telah diindeks (sinyal apa pun — bahkan satu tautan nofollow saja — sudah cukup)
3. Tidak ada sinyal kepercayaan yang negatif (domainnya baru, riwayatnya bersih)

Google akan membutuhkan sinyal otoritas yang kuat dan akan melakukan pengecekan silang terhadap domain merek yang sudah dikenal. Bing tidak demikian.

Hasil Pencarian Bing #1 (diverifikasi melalui SerpAPI, April 2026)

Daftar Perlindungan Terbaru (Merek Bagian II)

Rekomendasi (Bagian II)

Kepada Microsoft/Bing:

1. Pertandingan perebutan gelar saja tidak cukup untuk menjadi tolok ukur. Sebuah judul yang sesuai seharusnya tidak menempatkan domain baru di peringkat #1 untuk kueri merek. Perlu mempertimbangkan usia domain, otoritas backlink, atau sinyal verifikasi merek.
2. Mendeteksi teknik cloaking berbasis CSS. Halaman yang menggunakan overlay z-index untuk menyembunyikan konten dari pengguna tetapi menampilkannya kepada crawler harus ditandai.
3. Mendeteksi jaringan PBN yang terkoordinasi. 15 domain yang berbagi satu backend dan mengarah ke target yang sama bukanlah praktik pembuatan tautan organik.
4. Tandai domain yang terdaftar di NiceNIC pada hasil pencarian kripto (SERP) untuk pemeriksaan yang lebih ketat.
5. Buat jalur cepat untuk menangani spam di DuckDuckGo. DDG mewarisi semua kerentanan Bing, tetapi tidak memiliki mekanisme pelaporan spam yang mandiri.

Kepada NiceNIC International Group Co., Limited:

Kepada Cloudflare:

Ke-26 domain tersebut menggunakan DNS dan proxy Cloudflare. Domain-domain tersebut menjadi sarang bagi para pelaku penguras dompet dan pencuri frasa benih di balik infrastruktur Cloudflare.