FBI Ungkap Modus Video Call Palsu untuk Curi Kripto

Biro Investigasi Federal Amerika Serikat (FBI) mengungkap pencurian aset kripto yang dikaitkan dengan peretas yang terhubung ke Korea Utara. Dalam modus tersebut, pelaku menggunakan video call palsu untuk membangun kepercayaan korban, menyamar sebagai pihak tepercaya, lalu memperoleh akses ke akun atau dana.

Nilai aset yang dicuri disebut mencapai sekitar Rp7,3 triliun. Laporan lain menyebut angka sekitar Rp7,2 triliun. Perbedaan tersebut kemungkinan berasal dari pembulatan, perubahan nilai tukar, waktu penghitungan, atau perbedaan cakupan kerugian.

Catatan: Informasi yang tersedia belum menjelaskan identitas kelompok peretas secara spesifik, jumlah korban, platform video call, teknik pemalsuan video atau suara, serta rincian aliran dana.

Peretas Dikaitkan dengan Korea Utara

Ringkasan sumber menyebut FBI mengaitkan pencurian ini dengan peretas yang terhubung ke Korea Utara. Atribusi semacam itu biasanya didasarkan pada analisis teknis, pola operasi, infrastruktur digital, dan informasi intelijen. Atribusi tersebut tidak berarti seluruh warga, perusahaan, atau organisasi di negara itu terlibat.

Karena nama kelompok peretas tertentu belum tercantum dalam informasi yang tersedia, identitas pelaku tidak seharusnya diperluas melampaui laporan yang telah terverifikasi.

Bagaimana Modus Video Call Palsu Berjalan?

Video call menciptakan kesan interaksi personal. Korban dapat merasa sedang berbicara dengan rekan kerja, perekrut, pejabat perusahaan, penasihat investasi, atau petugas layanan resmi. Wajah, suara, latar belakang, dan percakapan yang tampak meyakinkan dapat menurunkan kewaspadaan.

Pelaku dapat mengarahkan percakapan pada:

Permintaan kata sandi atau kode autentikasi.
Akses ke dompet digital atau akun bursa.
Persetujuan transaksi tertentu.
Pemasangan aplikasi, ekstensi, atau perangkat lunak kendali jarak jauh.
Penghubungan dompet ke layanan yang tidak dikenal.
Pemindahan aset ke dompet yang disebut sebagai “dompet aman”.

Informasi yang tersedia belum membuktikan teknologi pemalsuan video atau suara tertentu. Karena itu, video call tidak boleh langsung dianggap sebagai bukti bahwa identitas penelepon telah terverifikasi.

Mengapa Modus Ini Efektif?

Interaksi Langsung Menciptakan Kesan Kredibel

Respons cepat, wajah, dan suara membuat korban merasa telah melakukan verifikasi. Padahal, identitas seseorang tetap harus diperiksa melalui kanal independen, seperti situs resmi, nomor yang tersimpan sebelumnya, atau konfirmasi dari rekan kerja melalui jalur komunikasi yang dikenal.

Tekanan Psikologis Mempercepat Keputusan

Penipu dapat menggunakan batas waktu palsu, ancaman pembekuan akun, klaim keadaan darurat, janji keuntungan, atau permintaan untuk merahasiakan transaksi. Tekanan tersebut membuat korban mengabaikan pemeriksaan alamat dompet, tujuan transaksi, dan identitas penerima.

Akhiri percakapan jika penelepon mendesak, mengancam, melarang konsultasi, atau meminta tindakan segera terkait dana.

Transaksi Kripto Sulit Dibatalkan

Transfer aset kripto yang telah dikonfirmasi biasanya bersifat final. Kesalahan alamat atau persetujuan transaksi dapat menimbulkan kerugian besar tanpa mekanisme pembatalan seperti pada sebagian transaksi perbankan.

Informasi yang Tidak Boleh Dibagikan

Jangan memberikan informasi berikut melalui panggilan apa pun:

Frasa pemulihan.
Kunci pribadi.
Kata sandi.
Kode autentikasi sekali pakai.
Kode pemulihan.
Persetujuan masuk ke akun.
Otorisasi transaksi yang tidak dipahami.

Pihak yang sah tidak memerlukan kunci pribadi atau frasa pemulihan untuk memeriksa akun. Pihak bursa juga tidak seharusnya meminta data rahasia tersebut.

Tanda-Tanda Video Call Mencurigakan

Waspadai penelepon yang:

Mengaku sebagai perwakilan bursa, perusahaan investasi, perusahaan teknologi, atau lembaga resmi tanpa verifikasi independen.
Meminta kunci pribadi, frasa pemulihan, kata sandi, atau kode autentikasi.
Mengarahkan korban memasang aplikasi, ekstensi, atau perangkat lunak kendali jarak jauh.
Meminta korban segera mentransfer aset atau menghubungkan dompet.
Menggunakan logo, alamat surel, latar belakang, atau identitas perusahaan sebagai satu-satunya bukti keaslian.
Melarang korban mengakhiri panggilan atau berkonsultasi dengan pihak lain.

Cara Melindungi Aset Kripto

Verifikasi melalui Kanal Terpisah

Akhiri panggilan jika permintaan menyangkut dana, kredensial, atau akses perangkat. Hubungi pihak yang diklaim sebagai pengirim melalui situs resmi atau nomor yang telah tersimpan sebelumnya. Jangan menggunakan tautan, nomor, atau alamat surel yang diberikan penelepon sebagai satu-satunya rujukan.

Aktifkan Autentikasi Berlapis

Gunakan autentikasi berlapis pada bursa, surel, dan akun penting. Simpan kode pemulihan di tempat aman dan jangan membagikannya kepada siapa pun.

Periksa Transaksi secara Manual

Cocokkan alamat tujuan, nilai, dan izin transaksi sebelum menyetujuinya. Jika memungkinkan, lakukan transfer percobaan dengan nilai kecil. Jangan hanya mengandalkan nama penerima yang tampil di aplikasi.

Pisahkan Dompet dan Batasi Izin

Gunakan dompet berbeda untuk penyimpanan jangka panjang dan transaksi harian. Batasi saldo pada dompet yang terhubung ke layanan pihak ketiga. Tinjau izin aplikasi secara berkala dan cabut akses yang tidak dikenal atau tidak diperlukan.

Terapkan Persetujuan Ganda

Perusahaan dan pengelola dana perlu menerapkan persetujuan lebih dari satu orang untuk transaksi bernilai besar. Prosedur panggilan balik melalui kontak resmi, batas transaksi, dan pencatatan instruksi dapat mengurangi risiko penyamaran.

Jika Telanjur Menjadi Korban

Hentikan komunikasi dengan pelaku.
Cabut izin aplikasi atau layanan yang tidak dikenal.
Putuskan sesi perangkat yang mencurigakan.
Ganti kata sandi dari perangkat yang dipastikan aman.
Hubungi bursa atau penyedia dompet melalui kanal resmi.
Bekukan akun jika fitur tersebut tersedia.
Simpan tangkapan layar, rekaman, pesan, alamat dompet, nomor transaksi, waktu kejadian, dan kronologi.
Laporkan insiden kepada penyedia layanan dan pihak berwenang.

Jangan membayar pihak yang menjanjikan pengembalian aset dengan biaya di muka. Tawaran tersebut dapat menjadi penipuan lanjutan. Pelaporan cepat dapat membantu penelusuran, tetapi tidak menjamin aset akan kembali.

Dampak bagi Industri Kripto

Kasus ini menunjukkan bahwa ancaman tidak hanya berasal dari peretasan teknis. Manipulasi manusia dapat menjadi pintu masuk pencurian bernilai besar.

Perusahaan kripto perlu memperkuat pelatihan keamanan, verifikasi identitas, prosedur dukungan pelanggan, pembatasan kewenangan, dan persetujuan ganda. Komunikasi video tidak boleh menggantikan prosedur pengesahan identitas.

Pengguna juga perlu memahami bahwa komunikasi langsung bukan bukti keaslian. Permintaan rahasia, tekanan waktu, janji keuntungan, dan larangan untuk melakukan verifikasi merupakan tanda bahaya.

Kesimpulan

FBI mengungkap pencurian aset kripto sekitar Rp7,3 triliun yang dikaitkan dengan peretas yang terhubung ke Korea Utara. Modus video call palsu mengeksploitasi kepercayaan korban melalui penyamaran, interaksi langsung, dan tekanan psikologis.

Jangan membagikan kunci pribadi, frasa pemulihan, kata sandi, atau kode autentikasi. Verifikasi identitas melalui kanal terpisah dan hentikan transaksi ketika penelepon mendesak atau melarang pemeriksaan.

Tanya Jawab

Apa modus peretas dalam kasus ini?

Berdasarkan ringkasan sumber, pelaku menggunakan video call palsu untuk menyamar dan menipu korban. Detail teknis pemalsuan video atau suara belum dijelaskan.

Berapa nilai aset yang dicuri?

Nilainya disebut sekitar Rp7,3 triliun. Sumber lain menyebut sekitar Rp7,2 triliun. Perbedaan tersebut dapat berkaitan dengan pembulatan, nilai tukar, atau metode penghitungan.

Bagaimana mengenali video call penipuan?

Waspadai permintaan kunci pribadi, frasa pemulihan, kode autentikasi, pemasangan perangkat lunak, atau transfer segera. Verifikasi identitas melalui situs dan kontak resmi yang tidak diberikan penelepon.

Apakah aset kripto yang dicuri dapat dikembalikan?

Pengembalian tidak dapat dijamin. Peluang penelusuran bergantung pada kecepatan pelaporan, informasi transaksi, serta kemampuan penyedia layanan dan pihak berwenang melacak atau membekukan dana.