[Guide] Perhatikan Ini Sebelum Menggunakan Exchange atau Investasi

[masulum]

Kelemahan Bookmark sebenernya cuman satu, yaitu kalau site yang di boomark terkena "DNS Hijacking" pada website yang disimpan. Dari hal tersebut si-hacker bisa meredirect dari website asli ke website palsu yang dibuat, gegara hal tersebut banyak user yang tidak sadar bahwa dirinya mengunjungi website phising yang dibuat oleh si-hacker.
<snip>

Nah, untuk mencegah hal ini, kita sebagai pengguna bisa memastikan dari address bar dan SSL info yang ada pada browser. Karena umumnya DNS hijack ini akan menampilkan template/layout website yang sama, hanya SSL dan alamat URL yang bisa menjadi pemandu kita.

Jika masih bingung mengenai hal ini, member yang penasaran bisa mencari informasi di [INFO] Informasi Phishing, Malware, Virus Dst (WAJIB BACA).

[ryzaadit]

-snip-

Gak semudah itu, kalau untuk dari "Search" google mungkin orang biasanya akan melakukan pengecheckan dari alamat website dan dll tapi kalau udh DNS Hijacking agak sedikit mudah terkena phising. Untuk masalah nama + ssl masih bisa disamakan seperti kasus Myetherwallet + Etherdelta yang memang salah satu huruf masih bisa dimanipulasi dengan L/I yang agak sedikit sulit dibedakan apabila browser menggunakan font dafault yang dimana terjadi kesamaan dalam huruf hanya dengan "Capslock".

Terlebih lagi, orang yang melakukan access melalui "Bookmark" yang memang udh berangapan seperti yang ane bilang diatas yang dimana fitur "Bookmark" dijadiakan salah satu cara untuk menghindari phising "Gua udah bookmark, gak mungkin lah mengujungi web phising" jadi lebih rentan ketimbang orang yang terkena phising dari Search Engine/Source tidak dikenal. Mari kita kasih contoh Bitcointalk terkena DNS Hijacking, hacker melakukan redirect website dari asli ke phising

Oke lah kalau disini masih bisa dibedakan dengan font yang memang ada sedikit perbedaan tapi kalo ane test di browser ane yang memang font nya masih dafault itu hampir sama banget perbedaanya hanyalah kesejajaran huruf antara i dan l, Yang bisa jadi pembeda hanyalah orang yang menggunakan fitur "Auto Login Forever" yang dimana akun tidak dalam keadaan login ketika mengunjungi website maka patut dicurigai sedang mengujungi halaman phising.

Yah untuk menghindari kesamaan kata yang hanya dengan menggunakan "Caplock" mungkin mengganti jenis font, pilih jenis font yang memang setiap huruf tidak bisa disamakan hanya dengan menggunakan capslock.

[joniboini]

Pake dnscrypt setiap mau mengakses internet + VPN mungkin bisa jadi alternatif kalau mau menghindari DNS hijack, walaupun juga ga bakal ketahuan kalau dari awal. Kalau emang mau super hati-hati, cek aja semua kode situs yang agan kunjungi karena pasti situs palsu ada kode tertentu yang beda dengan yang asli.

Kalau untuk hijack exchange, kayaknya bakal lebih mudah kalau make dnscrypt deh. Who knows, DYOR.
 

[masulum]

<snip>

Terima kasih atas koreksinya mas, karena menurut saya untuk SSL kaya MEW sudah memiliki nama khusus pada browser, jadi itu yang saya maksud cek SSL. namun, jika ternyata ini tidak terlalu mendukung dan anggapan saya salah untuk menghindari DNS hijack, tips dari mas ini akan sangat membantu yang lain begitu juga saya.

Atau mungkin menggunakan ekstensi metacert untuk browser bisa jadi alternatif lain untuk menghindari akses website yang terkontaminasi DNS Hijack ini mas?

[taufik123]

Kalo masalah menyimpan koin di Exchange, Indodax masih aman dan belum pernah di hack. Ane pribadi menyimpan koin atau HOLD koin di indodax sudah cukup lama. Keamanan indodax juga sangat baik dan kalaupun terjadi pembobolan si OSCAR pasti tanggung jawab untuk semua kerugian membernya.
Penyimpanan yang kedua saya pilih di wallet pribadi dan hanya saya saja yang bisa mengaksesnya. Harus lebih berhati-hati dan waspada, jangan sampau Private Key di curi orang lewat malware.

[ryzaadit]

Atau mungkin menggunakan ekstensi metacert untuk browser bisa jadi alternatif lain untuk menghindari akses website yang terkontaminasi DNS Hijack ini mas?

Ane belum pernah make sih, jadi gk bisa ngasih review buat ekstensinya.

Kalo masalah menyimpan koin di Exchange, Indodax masih aman dan belum pernah di hack. Ane pribadi menyimpan koin atau HOLD koin di indodax sudah cukup lama. Keamanan indodax juga sangat baik dan kalaupun terjadi pembobolan si OSCAR pasti tanggung jawab untuk semua kerugian membernya.

Belum pernah di-hack bukan berarti tidak bisa di hack, hanya saja memang belum ditemukan celahnya. Bisa ajh di masa mendatang, Indodax menjadi target penyerangan hacker dan berhasil menemukan celahnya "Mencegah lebih baik dari pada mengobati".

Untuk masalah ganti rugi, jika jumlah kerugian yang hilang lebih besar dari dana perusahaan maka hal itu bisa disebut "Out of Fund" yang dimana perusahaan tidak bisa melakukan ganti rugi dikarenakan dana yang dimiliki tidak cukup untuk melakukan ganti rugi.

Mungkin Exchange bisa melakukan beberapa cara yang bisa dilakukan sampai bisa pulih kembali :

• "Refund" dilakukan secara bertahap.
• Melakukan Limit terhadap Withdrawl dari Jumlah Witdrawl & Waktu yang dilakukan.
• Melakukan recovery asset, dengan melajutkan aktifitas trading (Fee Trade), dll.

Cuman biasanya kalau exchange udah kena hack, semua costumer pasti melakukan hal yang sama yaitu "Mau cepet-cepet withdrawl semua assetnya". Makanya exchange yang terkena hacked agak sulit recovery, terlebih lagi untuk Indodax yang memang exchange masih berada dikelas menengah.

[as9ardia]

Oke lah kalau disini masih bisa dibedakan dengan font yang memang ada sedikit perbedaan tapi kalo ane test di browser ane yang memang font nya masih dafault itu hampir sama banget perbedaanya hanyalah kesejajaran huruf antara i dan l, Yang bisa jadi pembeda hanyalah orang yang menggunakan fitur "Auto Login Forever" yang dimana akun tidak dalam keadaan login ketika mengunjungi website maka patut dicurigai sedang mengujungi halaman phising.

Yah untuk menghindari kesamaan kata yang hanya dengan menggunakan "Caplock" mungkin mengganti jenis font, pilih jenis font yang memang setiap huruf tidak bisa disamakan hanya dengan menggunakan capslock.

Saya kebetulan orang yang suka memakai fitur "Login Forever" dan apa yang mas ryza katakan itu benar sekali, ketika saya mengakses suatu web, misalnya bitcointalk lalu saya mendapati saya harus login kembali hal pertama yang saya lakukan adalah pemeriksaan huruf (lower case dan UPPER CASE), berhubung saya tidak faham dengan sistem dns hijaking atau sejenisnya, pun saya bukan tipe orang yang suka ngotak-ngatik tampilan/huruf dari suatu aplikasi (dalam hal ini browser) hal yang selalu saya lakukan untuk mengecek alamat website dari penggunaan huruf (UPPER dan lower Case) adalah dengan mengcopy alamat website yang ada di browser bar lalu paste di spreadsheet dan dieksekusi menggunakan rumus sederhana dari excel/spreadsheet.

[Husna QA]

Saya kebetulan orang yang suka memakai fitur "Login Forever" dan apa yang mas ryza katakan itu benar sekali, ketika saya mengakses suatu web, misalnya bitcointalk lalu saya mendapati saya harus login kembali hal pertama yang saya lakukan adalah pemeriksaan huruf (lower case dan UPPER CASE), -snip-

Untuk PC atau Laptop pribadi (tidak dipinjamkan ke orang lain) menggunakan fitur 'Login Forever' masih bisa dikatakan aman (saya pun menerapkan hal demikian) namun untuk web yang menyangkut finansial seperti web untuk akses internet banking dan sejenisnya yang tidak auto logout, sebaiknya di logout meskipun di PC pribadi.
Btw, pembahasannya sepertinya sedikit melebar dari tema utama thread ini 
Kembali ke topik...

Beberapa waktu lalu saya sempat deposit sejumlah BTC di https://otc.gcox.com/, tadinya maksud hati untuk tujuan membeli koin APL (sekedar untuk gas mengirim koin ACM), disana banyak member yang memasang iklan menjual koin tersebut. Namun ternyata koin APL tersebut di'bekukan'/tidak diperjualbelikan saat ini (saya coba bertanya ke admin grup telegramnya).
Kemudian saya coba mengirim balik BTC nya ke wallet address exchager lainnya, dan ternyata muncul pesan:

Saya baru 'ngeh' ternyata itu exchanger masih 'Beta version' 

Poin pelajarannya, sebelum deposit atau menggunakan exchanger, perhatikan kredibilitasnya, cari informasi/pendapat user lain yang sudah pernah menggunakannya, perhatikan apakah web exchanger nya masih "beta" atau sudah full launching, kemudian analisa juga seberapa 'ramai' aktivitas tukar-menukar di exchanger tersebut...

[mu_enrico]

Ane kebetulan bukan fans fitur "login forever" terutama di situs-situs yang penting, karena kalau komputer digondol maling, dia bisa langsung login. Untuk masalah DNS hijacking (redirect) dan phising sebetulnya agan cukup pakai LastPass saja. Plugin LastPass memiliki fitur autofill yang secara tidak langsung berguna memeriksa situs yang agan kunjungi legit atau tidak.

Ane masih ingat sewaktu diselamatkan oleh LastPass ketika mau login ke situs phising bitcointalk. Di situs abal-abal tersebut autofillnya tidak aktif, alhasil ane gagal login karena ane tidak tahu password (tersimpan di LastPass). Hanya saja cara ini tidak dapat digunakan apabila agan tidak login (seperti MEW misalnya). Tapi toh itu tinggal install MetaMask saja beres.

[Inu.Guren]

_{Sebelumnya terima kasih, kemarin-kemarin sempet baca thread aslinya dan akhirnya ada terjemahan "resmi" yang membuat saya semakin mengerti dan bisa berkomentar atau menambahkan sesuai dengan gaya bahasa saya sendiri.}
Terkait KYC mohon sekiranya lebih berhati-hati.
Benar apa yang masulum sampaikan pada point di atas, dan kalau boleh menambahkan jangan percaya dengan proses KYC yang menggunakan telegram, Google Form atau media lainnya diluar jalur resmi yang disediakan oleh exchange/projek.
Karena hampir tidak ada garansi data yang kita upload/submit dalam proses KYC akan dipergunakan untuk apa saja, bahkan mungkin bisa saja diperjualbelikan
Kasus dan atau Rujukan:
^{Another BINANCE HACK?
can exchange services sell my personal data?}

ya memang sebaiknya kalau melakukan KYC mending langsung ke website mereka, kalau menggunaka tele or Google Form, malah makin nambah privacy kita tersebar karena beberapa layanan tersebut kan data kita juga disimpan di server mereka, dan ini cukup beresiko.

kalau saya sendiri lebih prefer exchange yang melakukan KYC langsung di site mereka tanpa perlu menggunakan pihak ke-3 untuk melakukan KYC, karna ya untuk jaga privacy aja

[masulum]

kalau saya sendiri lebih prefer exchange yang melakukan KYC langsung di site mereka tanpa perlu menggunakan pihak ke-3 untuk melakukan KYC, karna ya untuk jaga privacy aja

Pihak ke-3 dalam proses KYC ini ada beberapa macam. Beberapa layanan yang mewajibkan KYC justru menggunakan pihak ke-3 juga ada kok. Garansi privasi ketika kita sudah memberikan data pada exchange itu bisa dikatakan tidak 100%. Meskipun menjamin kerahasiaan data, ketika terjadi "data breach" jaminan tersebut seperti tidak berlaku lagi. Cuma, ada satu hal yang mungkin menjadi tolok ukur masalah privasi ini. Titik tersebut adalah "kesiapan penyedia/pemberi layanan untuk mengantisipasi atau menutup celah potensi terjadinya kebocoran data KYC para pengguna". Meskipun Anda melakukan KYC langsung dari pihak exchange, jika mereka tidak siap untuk menjaga keamanan website, sama aja privasi yang Anda maksudkan tersebut menjadi tidak lagi berlaku.

[pandukelana2712]

kalau saya sendiri lebih prefer exchange yang melakukan KYC langsung di site mereka tanpa perlu menggunakan pihak ke-3 untuk melakukan KYC, karna ya untuk jaga privacy aja

Titik tersebut adalah "kesiapan penyedia/pemberi layanan untuk mengantisipasi atau menutup celah potensi terjadinya kebocoran data KYC para pengguna". Meskipun Anda melakukan KYC langsung dari pihak exchange, jika mereka tidak siap untuk menjaga keamanan website, sama aja privasi yang Anda maksudkan tersebut menjadi tidak lagi berlaku.

. Sedikit OOT
Disini gak ada yg penasaran/curiga siapa pelaku yg melakukan penjualan ID/data pribadi orang2 Indonesia beberapa waktu lalu?
Lumayan, ada orang tiba2 kena pajak perorangan sebesar 32 miliar..

[Husna QA]

-snip-
Disini gak ada yg penasaran/curiga siapa pelaku yg melakukan penjualan ID/data pribadi orang2 Indonesia beberapa waktu lalu?
Lumayan, ada orang tiba2 kena pajak perorangan sebesar 32 miliar..

apakah pelakunya dari orang 'dalam' exchanger? atau lainnya?
Kalaupun pihak kepolisian sudah memiliki data pelaku tersebut, apakah bisa dilakukan tindakan? dan apakah informasi pelakunya layak diungkap ke publik, mengingat bisa saja pelaku tersebut berupaya menghilangkan barang bukti?

-snip- Meskipun menjamin kerahasiaan data, ketika terjadi "data breach" jaminan tersebut seperti tidak berlaku lagi. Cuma, ada satu hal yang mungkin menjadi tolok ukur masalah privasi ini. Titik tersebut adalah "kesiapan penyedia/pemberi layanan untuk mengantisipasi atau menutup celah potensi terjadinya kebocoran data KYC para pengguna".-snip-

Kasus "Data breach", ini pernah saya alami juga beberapa waktu lalu pada sebuah forum diskusi.
Untuk exchanger (terutama yang sudah ternama) saya kira sudah memiliki SOP atau prosedur keamanan tersendiri termasuk untuk mencegah kebocoran data tersebut, meskipun tentu tingkat pengamanannya berbeda-beda. Namun pada beberapa kasus tidak jarang juga ada penyedia yang kurang memperhatikan masalah keamanan data pengguna tersebut.
Point-nya balik lagi pada masing-masing user yang hendak menggunakan atau bahkan menaruh investasi di exchanger tertentu tersebut untuk mencari tahu sebanyak mungkin informasi tentangnya termasuk issue keamanan dari exchanger tersebut.

[elda34b]

-snip-

Sebenarnya exchange bisa mengurangi atau meminimalisir hal ini kalau saja mereka menghapus data KYC pasca kita udah KYC. Maksudnya, kebutuhannya cuma sebatas input data dan kemudian di-encode dalam bentuk tertentu, jadi file-file seperti foto ktp dst bisa gak langsung diakses. Masalahnya ga bisa juga kita mengawasi mereka dari luar, dan hanya bisa 'pasrah'.

Tanpa KYC emang lebih asoy.

[masulum]

Disini gak ada yg penasaran/curiga siapa pelaku yg melakukan penjualan ID/data pribadi orang2 Indonesia beberapa waktu lalu?

Ini aku baru tahu dari mas e, jadi baru penasaran nyari infonya tapi ga daper 

<snip>
Point-nya balik lagi pada masing-masing user yang hendak menggunakan atau bahkan menaruh investasi di exchanger tertentu tersebut untuk mencari tahu sebanyak mungkin informasi tentangnya termasuk issue keamanan dari exchanger tersebut.

Nah ini dia poin terakhir, riset penyedia exchanger bagi pengguna serta bagaimana exchanger berhati2 dan selalu aktif menutup celah.

Sebenarnya exchange bisa mengurangi atau meminimalisir hal ini kalau saja mereka menghapus data KYC pasca kita udah KYC.<snip>

Tanpa KYC emang lebih asoy.

Menghapus KYC rasanya tidak mungkin, karena ini untuk kepentingan AML. exchange centralized mewajibkan KYC untuk meminimalisir tindakan kriminal tersebut. selain itu juga pastinya untuk membantu pihak berwajib jika ternyata ada penggunanya yang menyalahi aturan atau melanggar hukum di negara tempat penyedia exchange tersebut berada. kalau masalah enkripsi tentunya data seharusnya dienkripsi, ya namanya juga sistem pasti akan memiliki kelemahan, tinggal bagaimana penyedia.

Tanpa KYC sih bisa selama kita yakin tidak membutuhkan WD aset dengan jumlah yang besar. seperti di binance non-KYC kalau ga salah hanya bisa WD 2 BTC (kalau belum berubah). atau paling mudah ya pake DEX, cuma hati-hati jika diminta input Private Key.

[pandukelana2712]

-snip-

Sebenernya sih bukan hanya berkaitan dengan exchanger aja...mungkin juga dari pinjaman online (fintech).
Dan memang, pelaku adalah orang yang berada dalam sistem internal platform. Mungkin pelaku berasal dari oknum team EDP, maupun dari oknum CS.

Dan untuk sementara ini yang berhasil kenak tangkap saat ini adalah team dari produk fintech sbg salah satu pihak yang ikut menyebarkan (untuk menguntungkan diri sendiri) data pribadi orang lain. Juga ada tsk perorangan yg memanfaatkan tempat umum (hotel) untuk mengumpulkan data2 pribadi.

Beberapa pelaku lain msh dalam pencarian, tetapi udah diketahui orangnya.

Dan karena dalam proses sangkaan/penyidikan, maka identitas mereka tidak bisa dipublikasikan.
@masulum: https://www.sulselsatu.com/2019/07/29/teknologi/waduh-praktik-jual-beli-data-pribadi-marak-di-aplikasi-pinjaman-online.html

Dlm fintech pinjaman online, yg disebut proses verifikasi data pribadi adalah sama dengan proses KYC.

[masulum]

<snip>

Dlm fintech pinjaman online, yg disebut proses verifikasi data pribadi adalah sama dengan proses KYC.

Oh ini nyangkutnya ke fintech to mas, kirain tadi data exchanger yang dijual. kalau dalam kasus fintech di Indonesia sudah bukan rahasia lagi. Bahkan, saat kita beli pulsa pun data kita diperjual belikan untuk SMS berlangganan.  Parahnya lagi, ada sat fintech yang mengharuskan pengguna untuk memasukkan user dan pin internet banking jika ingin menambah limit, sadis ini udah melampaui KYC kwkkk.

Note: mohon untuk tidak membalas respon ini agar tidak OOT ke fintech 

[ezza3e]

terimakasih om atas penjelasannya, datail banget buat pemula.
ada satu hal yang membuat saya tertarik tapi takut untuk mencobanya, kan ada beberapa website yang mengharuskan kita untuk invest BTC dulu dan akan mendapatkan sekian persen perbulannya.
apakah ada cara untuk mengetahui/menebak kelangsungan website itu akan scam atau aman kedepannya?

[joniboini]

ada satu hal yang membuat saya tertarik tapi takut untuk mencobanya, kan ada beberapa website yang mengharuskan kita untuk invest BTC dulu dan akan mendapatkan sekian persen perbulannya.
apakah ada cara untuk mengetahui/menebak kelangsungan website itu akan scam atau aman kedepannya?

Cara gampangnya ya gausah pake website macam gituan gan, karena 90% pasti exit scam atau nipu sejak awal. Kalaupun ada teman yang share udah invest dkk, coba tanyakan udah WD atau belum. Dan kalaupun udah WD, ingat kalau ga ada jaminan mereka terus begitu (apalagi kalau teamnya ga jelas atau nyomot gambar orang).

Kalau mau investasi di dunia kripto coba pelajari dulu iklimnya dan lihat koin/token di top 50 lalu analisis mandiri. Semuanya tentu butuh waktu, tapi harus begitu biar agan bisa mandiri. Jangan asal nyemplung aja nanti malah kehilangan duit gara-gara kebodohan diri sendiri.

[Husna QA]

-snip- kan ada beberapa website yang mengharuskan kita untuk invest BTC dulu dan akan mendapatkan sekian persen perbulannya.

Sebaiknya hindari jika ada website yang mengiming-imingi keuntungan seperti demikian dengan terlebih dulu mengharuskan user mengirim sejumlah BTC ke pihaknya.

-snip- apakah ada cara untuk mengetahui/menebak kelangsungan website itu akan scam atau aman kedepannya?

Coba main ke board Scam Accusations disana agan bisa mempelajari beberapa contoh kasus website yang terindikasi scam, ciri-cirinya seperti apa, dll..