Iklan Google Palsu Uniswap Kuras Dompet Kripto Hingga Rp6 Miliar

Sebuah kampanye phishing yang ganas tengah memburu pengguna mata uang kripto lewat salah satu gerbang paling tepercaya di web: pencarian Google sederhana. Modusnya? Penipu membeli penempatan iklan bersponsor untuk kata kunci “Uniswap”. Dengan begitu, mereka berhasil menempatkan situs palsu yang dikloning sempurna tepat di atas tautan bursa terdesentralisasi (DEX) asli. Bagi pengguna yang lengah, satu kali klik dan satu transaksi yang disetujui bisa berarti kehilangan seluruh portofolio dalam hitungan detik.

Mekanisme serangannya brutal namun sangat efektif. Rantai serangan dimulai saat pengguna mencari kata “Uniswap”. Alih-alih melihat situs asli, mereka mendapati iklan berbayar di urutan teratas halaman hasil yang tampak seperti tautan resmi . URL di balik iklan ini adalah mahakarya tipu daya, seringkali memanfaatkan serangan Punycode atau IDN homograph. Dengan mengganti satu karakter Latin dengan karakter Cyrillic yang tampak identik, penipu bisa mendaftarkan domain yang secara visual tak bisa dibedakan dari uniswap.org, mengelabui pengguna yang hanya melirik sekilas bilah alamat .

Begitu korban mengeklik tautan, mereka mendarat di situs kloning yang meniru antarmuka Uniswap serinci mungkin. Ketika mereka mengeklik “Hubungkan Dompet” dan menyetujui sebuah transaksi untuk berinteraksi dengan platform, mereka sebenarnya tidak sedang memulai pertukaran, melainkan menandatangani kontrak pintar jahat. Persetujuan ini memberikan skrip penyerang, seringkali berupa fungsi setApprovalForAll atau fungsi penguras khusus, akses tak terbatas ke aset di dalam dompet korban . Pencurian terjadi seketika dan, seperti semua transaksi on-chain, bersifat permanen. Operasi ini didukung oleh alat seperti AngelFerno, sebuah penguras dompet “scam-as-a-service” yang memang dirancang untuk mengincar pengguna DeFi .

Beban Finansial yang Menggunung

Dampak kemanusiaan dan finansial dari kampanye ini sangat parah dan terdokumentasi dengan baik. Menurut analis on-chain, kampanye Iklan Google palsu spesifik yang meniru Uniswap ini telah menyedot setidaknya $400,000 (sekitar Rp6,5 miliar) dari para korban per Mei 2026 . Namun, angka ini hanya menangkap sebagian kecil dari kerusakan yang telah ditimbulkan oleh teknik-teknik ini dari waktu ke waktu. Seorang pengguna DeFi kehilangan $1,23 juta dalam NFT posisi Uniswap V3 pada Juli 2025 setelah menandatangani transaksi jahat di situs phishing identik yang dipromosikan lewat Google Ads .

Pada Februari 2026, seorang trader Polymarket yang dikenal sebagai @ika_xbt secara terbuka menyatakan bahwa ia telah kehilangan seluruh kekayaan bersihnya senilai “ratusan juta rupiah” dalam satu kali transaksi setelah mengeklik hasil bersponsor yang meniru aplikasi Uniswap . Kasusnya memicu peringatan publik dari pendiri Uniswap, Hayden Adams, yang mengecam ketidakmampuan platform untuk menghentikan iklan penipuan ini meskipun sudah tahunan dilaporkan oleh komunitas . Konteks yang lebih luas juga sama mengkhawatirkannya: pada Januari 2026 saja, pencurian kripto dari serangan phishing dan rekayasa sosial melonjak menjadi $370,3 juta di 40 insiden terpisah, menurut data CertiK, menandai total bulanan tertinggi dalam hampir setahun .

Langkah Pertahanan: Cara Menghentikan Serangan Penguras

Kecanggihan penipuan ini berarti nasihat lama seperti “berhati-hatilah saja” sudah tidak memadai. Diperlukan pertahanan berlapis yang proaktif, berfokus pada pencegahan klik awal dan membatasi kerusakan jika kesalahan terjadi.

1. Hilangkan sepenuhnya risiko mengeklik. Tindakan paling efektif adalah jangan pernah mengeklik hasil pencarian bersponsor untuk platform kripto apa pun. Sebagai gantinya, tandai URL resmi, app.uniswap.org, dan langsung menuju ke sana. Jangan percaya bahwa Iklan Google, bahkan yang tampak sah, sudah diverifikasi .

2. Periksa URL dengan penuh kecurigaan. Sebelum menghubungkan dompet, perhatikan baik-baik URL di bilah alamat. Jangan hanya memastikan bahwa itu “terlihat benar”—cari substitusi homograph halus yang dieksploitasi oleh serangan Punycode. Biasakan untuk mengarahkan kursor ke tautan dan membandingkan teks yang ditampilkan dengan tujuan peramban yang sebenarnya .

3. Bangun perangkat keamanan dompet. Dompet perangkat keras menambah lapisan pertahanan krusial karena mengharuskan Anda memverifikasi dan menyetujui detail transaksi secara fisik di perangkat terpisah. Lengkapi ini dengan ekstensi peramban yang dirancang khusus untuk keamanan kripto. Alat seperti Pocket Universe, Wallet Guard, dan Scam Sniffer dapat menyimulasikan hasil transaksi dan menandai kontrak jahat yang dikenal sebelum Anda menandatanganinya, secara efektif memblokir serangan bahkan jika Anda terlanjur mendarat di situs kloning.

4. Batasi eksposur dengan mencabut izin. Setiap transaksi “approve” yang Anda tanda tangani adalah surat izin permanen bagi kontrak pintar untuk mengakses token Anda. Seiring waktu, dompet mengakumulasikan lusinan izin usang ini, menciptakan permukaan serangan yang sangat besar. Gunakan alat khusus seperti Revoke.cash atau pemeriksa izin token Etherscan untuk secara rutin mengaudit dan mencabut izin yang tidak lagi Anda perlukan. Praktik higienis sederhana ini memastikan bahwa bahkan jika Anda melakukan kesalahan, kemampuan kontrak jahat untuk menguras aset Anda sangat terbatas.

Tetap aman juga berarti tetap terinformasi. Mengikuti penyelidik on-chain seperti ZachXBT dan analis seperti Scam Sniffer di @realScamSniffer untuk peringatan waktu nyata, serta pernyataan publik dari pemimpin industri seperti Hayden Adams, menyediakan sistem peringatan dini untuk vektor serangan baru dan yang terus berkembang .