Trust wallet yang ngirim busd ke alamat contrak lain dengan sendiri

[masulum]

@Abhiseshakana, kalau menurut saya masalah ini bukan karena Trustwalletnya maupun notifikasi untuk approval. Seorang anon di 4chan menceritakan dia tidak merasa menekan tombol OK sekalipun.

Nanoswap was the culprit, I didn't know it was possible for funds to literally be just removed from my wallet without me having to ok it first

What the fuck, I'm still positive from the bullrun but this is some serious fucking bullshit, are there wallets out there with 2FA or some actual security for BSC shitcoin gamebing?


If not I'm gonna stick to binance/kraken or some shit becuase fuck that nonsense entirely there's no point connecting a wallet to anywhere if it means at any point my funds can just be stolen with 0 chance to get them back.

Artinya memang kemungkinan ada backdoor pad SN nanoswap untuk mengambil aset yang disesuaikan dengan target hacker

[abhiseshakana]

@Abhiseshakana, kalau menurut saya masalah ini bukan karena Trustwalletnya maupun notifikasi untuk approval. Seorang anon di 4chan menceritakan dia tidak merasa menekan tombol OK sekalipun.

Perihal fake notification hanyalah sebuah dugaan saja (contoh bagaimana suatu malicious site bisa mengakses wallet yang terkoneksi dengan situs tersebut), dan dari awal saya juga tidak pernah bilang jika yang bermasalah adalah Trust wallet. Malah saya menyarankan untuk mengaktifkan fitur Passcode dan fungsi "Ask authentication for Transaction Signing" supaya jika ada kasus backdoor seperti yang agan kira atau metode unauthorized access lainnya, transaksi yang akan dikirimkan bakal meminta otorisasi (passcode) terlebih dahulu.

Meskipun fungsi passcode tersebut tidak menjamin aset bakal 100% aman, tetapi minimal fungsi tersebut bisa digunakan sebagai pengaman tambahan.

[inanilujimi]

Sepertinya cuma busd ane aja yang berhasil mereka rebut, itu karena saat presile ane memakai busd untuk membeli nano, aset ane yang lain aman semua, jadi karena takut semua terambil ane langsung pisahkan ke alamat dompet lain, kayaknya untuk fungsi Pascode dan ask saat transaksi gak menjamin aman om, kayaknya kontrak tersebut hanya bisa mengambil aset yang pernah terhubung saja, kalau dia punya private key mana mungkin dia menyisakan aset didalamnya.

[masulum]

Kasus serupa terjadi lagi, namun kali ini di beda token, kali ini korban kehilangan 500 cake, saya coba bertanya pada korban pernah menghubungkan token di mana saja. Tapi tidak dijawab. Sepertinya ini dapat menjadi ancaman serius bagi petani koin di BSC. Korban juga mengatakan dia mengatakan menggunakan metamask, bukan trust, jadi memang bukan dari sisi wallet yang terkontaminasi, namun kemampuan SC dalam mengambil token yang kita miliki. Dengan kondisi ini, sekalipun kita menggunakan hardware maupun paper wallet, tidak akan bisa menyelamatkan aset, karena ini terhubung langsung dari SC bukan dari PK. karena memang ketika kita sudah memberikan approval, SC dapatmenukarkan token A dengan token B, dan kemampuan ini yang sepertinya dimanfaatkan oleh pencuri tersebut.

[inanilujimi]

Kasus serupa terjadi lagi, namun kali ini di beda token, kali ini korban kehilangan 500 cake, saya coba bertanya pada korban pernah menghubungkan token di mana saja. Tapi tidak dijawab. Sepertinya ini dapat menjadi ancaman serius bagi petani koin di BSC. Korban juga mengatakan dia mengatakan menggunakan metamask, bukan trust, jadi memang bukan dari sisi wallet yang terkontaminasi, namun kemampuan SC dalam mengambil token yang kita miliki. Dengan kondisi ini, sekalipun kita menggunakan hardware maupun paper wallet, tidak akan bisa menyelamatkan aset, karena ini terhubung langsung dari SC bukan dari PK. karena memang ketika kita sudah memberikan approval, SC dapatmenukarkan token A dengan token B, dan kemampuan ini yang sepertinya dimanfaatkan oleh pencuri tersebut.

Di blokchain ETH hal seperti ini bisa dapat dilakukan juga untuk sc nya kah om? Karena sampai saat ini hanya bsc saja yang saya tahu pernah mengalami ini, bukankah bsc ini replika dari ETH ?

[khiholangkang]

Di blokchain ETH hal seperti ini bisa dapat dilakukan juga untuk sc nya kah om? Karena sampai saat ini hanya bsc saja yang saya tahu pernah mengalami ini, bukankah bsc ini replika dari ETH ?

Sepertinya sih bisa terjadi juga pada jaringan ETH, cuma mungkin karena fee di ETH lebih mahal jadinya jarang keliatan kasus kaya gini

[abhiseshakana]

Di blokchain ETH hal seperti ini bisa dapat dilakukan juga untuk sc nya kah om? Karena sampai saat ini hanya bsc saja yang saya tahu pernah mengalami ini, bukankah bsc ini replika dari ETH ?

BSC compatible dengan EVM, jadi pada dasarnya smart contract dari ETH maupun BSC memiliki bytecode yang sama dan mayoritas keduanya dituliskan menggunakan Solidity. Smart contract memiliki Vulnerabilities (kerentanan), sehingga celah ini bisa dimanfaatkan oleh oknum untuk melakukan scam menggunakan smart contract (baik itu ETH, BSC maupun platform lainnya).

Ini beberapa contohnya :
https://www.coindesk.com/understanding-dao-hack-journalists
https://www.freecodecamp.org/news/a-hacker-stole-31m-of-ether-how-it-happened-and-what-it-means-for-ethereum-9e5dc29e33ce/

[masulum]

Seingat saya saat awal-awal airdrop UNI, ada kasus serupa di jaringan ETH, dan sudah pernah di share oleh agan Panjay di postingan ini. Untuk penjelasannya sudah dijelasin sama mas abhiseshakana. Ada satu lagi yang sering dibahas oleh user untuk token-token maupun layanan farming baru, mengenai Migrator, entah apa fungsinya, saya juga masih belum paham mengenai hal ini. mungkin ada yang bisa menjelaskan?

[ringgo96]

Kemarin juga saya mengalami Hacking di TrustWallet. Dan setelah saya Track itu Hackernya orang indonesia karena mengikuti Airdrop.
Buat teman teman disini saya sarankan untuk Backup Pharse Wallet di tempat yang aman. Kalau bisa Di tulis. Dan juga jangan asal Connect terhadap situs yang kurang jelas.  FB,Gmail. Semua bisa di hack

[khiholangkang]

Kemarin juga saya mengalami Hacking di TrustWallet. Dan setelah saya Track itu Hackernya orang indonesia karena mengikuti Airdrop.
Buat teman teman disini saya sarankan untuk Backup Pharse Wallet di tempat yang aman. Kalau bisa Di tulis. Dan juga jangan asal Connect terhadap situs yang kurang jelas.  FB,Gmail. Semua bisa di hack

Kalo hackernya orang indo kemungkinan agan sendiri yg jual pharse nya, atau pernah ngasih pharse ke situs2 tertentu, saya sendiri nyimpen pharse di PC dari awal kenal forum ini sampe sekarang ga pernah kejadian kena hack gitu

[blue Snow]

Kemarin juga saya mengalami Hacking di TrustWallet. Dan setelah saya Track itu Hackernya orang indonesia karena mengikuti Airdrop.
Buat teman teman disini saya sarankan untuk Backup Pharse Wallet di tempat yang aman. Kalau bisa Di tulis. Dan juga jangan asal Connect terhadap situs yang kurang jelas.  FB,Gmail. Semua bisa di hack

Kalo hackernya orang indo kemungkinan agan sendiri yg jual pharse nya, atau pernah ngasih pharse ke situs2 tertentu, saya sendiri nyimpen pharse di PC dari awal kenal forum ini sampe sekarang ga pernah kejadian kena hack gitu

Trustwallet adalah mobile wallet, hacker sepertinya lebih mudah untuk mengambil key di handphone karena keteledoran, Orang kadang mudah mengkopi paste kunci dan mengirimkannya pakai aplikasi misalkan WA, Telegram untuk membuka wallet di HP dari Komputer. Itu merupakan sumber utama wallet kena hack.

Ane kasih contoh thread https://bitcointalk.org/index.php?topic=5326656.0 kena hack gara2 kirim kunci ke messanger.

I was also able to use messenger IM when I needed to open a web browser, copy-paste method, cp (messenger) to pc,  sometimes I take a screenshot and automatically back-up to my mail cloud service.

Pintu hacker untuk membobol mobile wallet rata-rata via itu, terkadang pernah pakai di HP lama dan lupa logout, ternyata tersimpan kunci wallet yang pernah dipakai untuk restore dan bobol. Manusia adalah faktor utama kelalaian dan mereka akan terkadang mereka akan menyalahkan sistem pada wallet.

[TelolettOm]

Kemarin juga saya mengalami Hacking di TrustWallet. Dan setelah saya Track itu Hackernya orang indonesia karena mengikuti Airdrop.
Buat teman teman disini saya sarankan untuk Backup Pharse Wallet di tempat yang aman. Kalau bisa Di tulis. Dan juga jangan asal Connect terhadap situs yang kurang jelas.  FB,Gmail. Semua bisa di hack

Biasanya agan connect dengan situs yang berbahaya. karena banyak yang mengalami hack karena hal tersbut. mungkin bisa di revoke untuk situs yang memang tidak jelas. Kemarin saat pancake mengalami peretasan banyak juga yang mengalami hacking.  jadi lebih hati hati dalam menyimpan privat key ataupun pharsenya

[akar87]

Kasus seperti ini sudah terjadi berulang kali bahkan hampir seminggu sekali saya mendapatkan postingan seperti ini, saran saya jika menggunakan trustwallet hati2 dalam menggunakan dapp exchange wallet, jangan sembarangan konekin exchange dengan akun trust walletmu, banyak sekali situs exchange dapp abal2 yang bisa membuat assetmu hilang, kalau emang mau ikut airdrop dapp exchange lebih baik pakek akun truatwallet koaong.

[devollito]

Pertama lo inget2 itu trust wallet lo ada yg punya phase prase nya apa ga. Kemungkinan wallet lo di tanem kontrak otomatis kirim itu kayaknya. Gue sih ga pernah kejadian kpo ke kirim sendiri. Atau jangan2 orang deket lo punya secret key nya. Coba inget2 lagi. Saran gue mendingblo ganti wallet

[masulum]

Akhir-akhir ini semakin banyak kasus proyek yang mencuri token BUSD melalui kontrak. Jika Anda merupakan pemain AMM pancake atau yang lainnya yang suka Hit & Run, sebaiknya langsung melakukan unrekt kontrak dari koin terakhir yang Anda miliki dan yang sudah dijual jika memiliki banyak token yang bernilai.

Kasus terbaru

---

If anyone was farming in koalafinance(dot)io please unrekt them asap!
They recently started draining busd from wallet
-------
Another warning guys. If you ever interacted with something called Bullfarm, revoke your permissions with a tool like unrekt.net.
They are still draining BUSD from wallets, even a month after the first warnings.

https://twitter.com/indiasnm/status/1378554506816839683

[inanilujimi]

Akhir-akhir ini semakin banyak kasus proyek yang mencuri token BUSD melalui kontrak. Jika Anda merupakan pemain AMM pancake atau yang lainnya yang suka Hit & Run, sebaiknya langsung melakukan unrekt kontrak dari koin terakhir yang Anda miliki dan yang sudah dijual jika memiliki banyak token yang bernilai.

Kasus terbaru

---

If anyone was farming in koalafinance(dot)io please unrekt them asap!
They recently started draining busd from wallet
-------
Another warning guys. If you ever interacted with something called Bullfarm, revoke your permissions with a tool like unrekt.net.
They are still draining BUSD from wallets, even a month after the first warnings.

https://twitter.com/indiasnm/status/1378554506816839683

Ngeri juga ya om sekarang untuk nyimpan banyak aset seperti busd di trust wallet, ane aja yang kehilangan sekitar Rp 7 jutaan sampe sekarang masih terasa kesalnya, ini sampe Rp 50 jutaan gak bisa terbayangkan kemana keadaannya dia sekarang, kalau solusi unrekt kontrak dari banyaknya koin yang ada itu kayaknya jadi tambah banyak biaya, kalau ganti alamat yang baru kayaknya lebih efisien. Btw belum ada atau memang gak ada ya solusinya agar kontrak yang bisa ngambil busd sendiri itu bisa kembali ke pemilik aslinya.

[khiholangkang]

kalau solusi unrekt kontrak dari banyaknya koin yang ada itu kayaknya jadi tambah banyak biaya, kalau ganti alamat yang baru kayaknya lebih efisien.

Kalo di BSC sih masih murah kalo mau unrekt, kalo di jaringan ETH emang bener nambah banyak biayanya mending ganti alamat aja

Btw belum ada atau memang gak ada ya solusinya agar kontrak yang bisa ngambil busd sendiri itu bisa kembali ke pemilik aslinya.

Namanya token udah dikirim mana bisa dibalikin lagi, kecuali alamat penerimanya mau ngirim balik

[masulum]

Btw belum ada atau memang gak ada ya solusinya agar kontrak yang bisa ngambil busd sendiri itu bisa kembali ke pemilik aslinya.

Seperti yang disebutkan oleh khiholangkang, tidak ada cara untuk melakukan pengembalian. Bahkan untuk saat ini, saat saya tanya ke tim unrekt, sulit untuk mendeteksi token mana yang mampu mengambil token target. Mungkin ada, tapi butuh riset kontrak yang lebih mendalam yang saat ini diluar kapasitas tim unrekt. Makanya sekarang saya lebih suka gunain wallet baru dengan nilai kecil untuk mengantisipasi hal ini. kalaupun ada token yang tiba2 mahal, saya milih unrekt token lain daripada ganti wallet.

[celot]

Banyak yang salah kaprah selama ini, kok bisa bilang truswallet mengirim saldo koin mereka dengan sendirinya, padahal jelas2 akun trustwallet kena hack bisa saja karena sering konekin ke dapp market yang tidak resmi atau bisa jadi sering ikut airdrop yang meminta konek wallet trust, heran juga kenapa menggunakan kata2 terkirim sendiri mana ada wallet yang bisa mengirim saldo sendiri tanpa ada akses atau dikirim sama hackernya.

[inanilujimi]

Banyak yang salah kaprah selama ini, kok bisa bilang truswallet mengirim saldo koin mereka dengan sendirinya, padahal jelas2 akun trustwallet kena hack bisa saja karena sering konekin ke dapp market yang tidak resmi atau bisa jadi sering ikut airdrop yang meminta konek wallet trust, heran juga kenapa menggunakan kata2 terkirim sendiri mana ada wallet yang bisa mengirim saldo sendiri tanpa ada akses atau dikirim sama hackernya.

Mungkin kalau om mau baca isi tread lebih bagus om daripada cuma baca judulnya doang. ini bukanlah masalah trust wallet tapi smart kontrak yang digunakan sebagai penipuan, bukan saja trust wallet bahkan wallet yang lain juga bisa mengalami kasus serupa.