Quishing crypto adalah gabungan dari kata QR code dan phishing, yaitu metode kejahatan siber di mana penjahat menggunakan kode QR palsu untuk mengelabui korban agar mengakses situs web tiruan atau memberikan izin akses ke dompet kripto mereka. Serangan ini mengandalkan kelengahan korban yang memindai kode QR tanpa memeriksa alamat URL tujuan secara teliti, yang berujung pada pengurasan aset digital secara instan.
Modus operandi ini semakin marak seiring tingginya adopsi dompet Web3 dan transaksi berbasis seluler. Penyerang biasanya menyebarkan kode QR palsu melalui berbagai platform digital maupun fisik untuk memancing korban melakukan pemindaian (scanning).
Modus Operandi Penipuan Quishing Crypto
Kejahatan quishing dalam ekosistem aset kripto umumnya mengeksploitasi kepercayaan pengguna terhadap antarmuka berbasis pemindaian cepat. Berikut adalah vektor serangan utama yang sering ditemui di lapangan:
- Phishing Situs Web: Kode QR mengarahkan korban ke situs palsu yang sangat mirip dengan bursa kripto (exchange), platform staking, atau dApp resmi guna mencuri seed phrase atau kredensial login.
- Persetujuan Jahat (Malicious Signature Request): Kode QR memicu koneksi WalletConnect palsu yang meminta korban menandatangani transaksi berbahaya (setApprovalForAll), memberikan izin kepada peretas untuk menguras seluruh isi token di dompet korban.
- Kampanye Iklan Palsu & Media Sosial: Penyerang menyebarkan poster atau banner digital berisi kode QR undian berhadiah atau airdrop palsu yang mewajibkan pemindaian cepat.
Matriks Perbandingan: QR Code Resmi vs QR Code Quishing
| Parameter | QR Code Resmi / Sah | QR Code Quishing (Penipuan) |
|---|---|---|
| Destinasi URL | Domain resmi proyek (misal: .com, .org yang terverifikasi). | Domain tiruan dengan tipuan karakter (typosquatting) atau domain acak. |
| Permintaan Koneksi | Standar autentikasi dApp terpercaya tanpa meminta private key atau seed phrase. | Meminta input 12/24 kata pemulihan (seed phrase) atau tanda tangan transaksi tak dikenal. |
| Media Penyebaran | Saluran resmi proyek, pengumuman in-app, atau situs web tervalidasi. | Forum publik, iklan media sosial mencurigakan, email spam, atau stiker fisik menempel di tempat umum. |
Langkah Pencegahan dan Mitigasi
Melindungi aset kripto dari ancaman quishing memerlukan kedisiplinan operasional yang tinggi. Terapkan langkah-langkah mitigasi berikut untuk mengamankan portofolio Anda:
- Jangan Pernah Memindai QR Sembarangan: Hindari memindai kode QR dari sumber yang tidak dikenal, terutama yang menjanjikan keuntungan instan, airdrop gratis, atau hadiah bernilai tinggi.
- Gunakan Fitur Pratinjau Tautan (URL Preview): Pastikan aplikasi pembaca QR Anda menampilkan pratinjau tautan sebelum membukanya di peramban. Periksa ejaan domain secara cermat.
- Pisahkan Dompet Aset dan Dompet Transaksi (Burner Wallet): Gunakan dompet terpisah untuk berinteraksi dengan dApp baru atau saat memindai kode QR yang belum teruji keamanannya. Jangan simpan aset utama di dompet tersebut.
- Revoke Akses Secara Berkala: Gunakan alat pemindai izin seperti Revoke.cash secara rutin untuk memeriksa dan mencabut izin akses kontrak pintar yang mencurigakan pada dompet Anda.
Troubleshooting Jika Telah Memindai QR Palsu
Jika Anda terlanjur memindai kode QR dan berinteraksi dengan situs penipuan, lakukan tindakan darurat ini seketika:
- Putuskan koneksi internet perangkat Anda untuk menghentikan komunikasi data lebih lanjut dengan peladen peretas.
- Segera pindahkan sisa aset yang belum terdampak ke dompet dingin (hardware wallet) atau dompet baru yang bersih.
- Cabut seluruh izin koneksi (disconnect) dApp melalui pengaturan dompet Anda atau gunakan layanan pencabutan izin pihak ketiga yang aman.