[Peringatan] ChatGPT Memberikan Link Phising Sekitar $2,1 Juta Telah Dicuri

[AakZaki]

Dalam beberapa kesempatan saya sering kali mengingatkan untuk tidak membuka link sembarang, terutama yang berkaitan dengan Crypto kita.
Karena link phising, malware atau scrypt jahat sering kali mengincar kita yang punya Crypto, apalagi kita yang sering scrolling media social tentang Crypto sehingga algoritma media sosial tersebut juga merekomendasikan pada link-link yang kadang berbahaya.

Intinya kita harus selalu waspada ketika ingin:

• Download Wallet baru
• Ketika ingin mengakses Web3 baru atau website yang baru kita kenal.

Paling minimal lakukan pengecekan pada VirusTotal atau Scan Repo ketika hendak ingin mendownload wallet atau ingin berinteraksi ke website yang baru kita kenal.

Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.
Baru-baru ini ChatGPT memberikan link phising ketika seseorang bertanya dimana tempat menjual token FLR, chatGPT memberikan link sebagai berikut:

Code:

https://sceptre.network

Dalam pengecekan VirusTotal memang terdeteksi oleh vendor:

• Forcepoint ThreatSeeker: Phishing
• alphaMountain.ai: Suspicious

Dengan adanya kejadian ini semoga ini menjadikan sebuah pelajaran atau sebagai pengingat bahwa di Internet penuh dengan tipu-tipu dan orang-orang yang serakah.

Source:
- https://x.com/vesnuhin/status/2065626112084836845
- https://x.com/osint_based/status/2095523994996707526

[MAAManda]

Bertambahnya pengetahuan kita tentang keamanan tidak membuat kita lepas dari jerat potensi kejahatan siber, karena disaat kita merasa semakin bagus dalam hal keamanan, para kriminal siber diluar sana juga ikut meningkatkan kapabilitas atau cara mereka menipu. Beberapa hari yang lalu salah satu penghuni SFI kita menjadi korban hijack & kehilangan sekitar 1,2 Bitcoin (BTC).

Sekarang, ditempat dimana banyak orang mengambil rujukan seperti ChatGPT, sudah bersarang cara-cara kriminal itu melancarkan aksi mereka. Padahal, kalau dipikir-pikir, orang yang punya banyak aset sudah pasti punya kapabilitas & sadar dengan keamanan. Artinya, masalahnya ada di tingkat kewaspadaan.

Saya setuju dengan yang dikatakan om @AakZaki bahwa jangan mudah percaya & selalu verifikasi terlebih dahulu sebelum melakukan eksekusi pada aksi apapun.

Menurut saya, ada 3 cara paling gampang bagi penipu untuk mencuri aset kripto kita, melalui keyboard hijack, address poisoning & wallet/address approval phising, berikut cara yang biasa saya gunakan agar terhindar dari ketiga cara penipuan itu:

Keyboard Hijack
Solusi: Selalu memastikan bahwa akan mengirim ke address yang sesuai, jika ternyata tidak sesuai, saya tidak akan melanjutkan pemrosesan di device yang sedang digunakan & lanjut melakukannya di device yang lain (beruntungnya sejauh ini saya belum pernah mengalami keyboard hijack)

Address Poisoning
Solusi: Biasanya saya melakukan pencocokan string atau teks di platform pencocokan yang bisa ditemui di Google, contohnya seperti pada gambar dibawah ini:

Penampakan Address Identik

Sumber Gambar: Text Compare!

Penampakan Address Tidak Identik

Sumber Gambar: Text Compare!

Tidak ada salahnya kehilangan beberapa menit waktu kita untuk melakukan verifikasi daripada harus kehilangan aset yang kita dapatkan dari bekerja berbulan-bulan sampai bertahun-tahun.

Wallet/Address Approval Phising
Solusi: Selalu gunakan wallet/address dummy saat approval dengan sedikit balance didalamnya ($5 - $10) untuk melihat bagaimana pengalaman yang kita alami setelah approval terjadi sebagai percobaan, kalau memang tidak terjadi apa-apa maka lanjutkan dengan jumlah transaksi yang awalnya kita niatkan.

Yah, itu saja sedikit insight dari saya, alhamdulillah dari mulai saya menginjakkan kaki di industri kripto, saya tidak pernah sekalipun jadi korban hacking dengan nilai kecil ataupun fantastis sampai membuat saya tidak bisa tidur .

[taufik123]

Paling minimal lakukan pengecekan pada VirusTotal atau Scan Repo ketika hendak ingin mendownload wallet atau ingin berinteraksi ke website yang baru kita kenal.
Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.

Sekarang ini sudah jadi kebiasaan saya, selalu cek di Virustotal apapun yang berkaitan dengan data, website dan wallet yang ingin didownload.
Biar gak ada kejadian kenak malware atau semacamnya, Jadi ngerti sekarang ini.
Meskipun AI udah canggih tapi ada saja celahnya yang bisa di manfaatkan bahkan tanpa ada kroscek apapun dari AI.
Kadang AI.nya juga goblok ngasih jawaban muter-muter tanpa konteks yang jelas.

Saya cek link website phising tersebut di google sekarang langsung ada peringatan

Keyboard Hijack
Solusi: Selalu memastikan bahwa akan mengirim ke address yang sesuai, jika ternyata tidak sesuai, saya tidak akan melanjutkan pemrosesan di device yang sedang digunakan & lanjut melakukannya di device yang lain (beruntungnya sejauh ini saya belum pernah mengalami keyboard hijack)

Terkait Keyboard Hijack kayakanya kmaren member SFI ada yang kenak dan kehilangan 1.2BTC.
[TANYA] Lacak BTC yang dicuri

3 hari yang lalu 1.2 BTC saya hilang karna clipboard hijack.

[masulum]

Address Poisoning
Solusi: Biasanya saya melakukan pencocokan string atau teks di platform pencocokan yang bisa ditemui di Google, contohnya seperti pada gambar dibawah ini:

ada cara yang lebih sederhana dan bisa dilakukan secara offline untuk mengecek apakah konten sama atau tidak dengan menggunakan excel dengan rumus dasar.

Code:

=IF(A1=B1,"SAMA","TIDAK SAMA")

rumus ini diaplikasikan pada sheet excel kolom C.

Terkait Keyboard Hijack kayakanya kmaren member SFI ada yang kenak dan kehilangan 1.2BTC.
[TANYA] Lacak BTC yang dicuri

peringatan ini sudah sangat lama juga dibahas di forum ini oleh LoyceV (en - id). sejak membaca tread tersebut, hingga saat ini, saya menggunakan file excel seperti di atas untuk melakukan pengecekan. Tentu saja, saya membandingkan karakter secara manual setelah mengcopy dari wallet ke excel. ini memudahkan saya untuk tidak selalu mengecek secara manual.
kembali pada kasus link phishing pada chatGPT, ini masalah baru yang memang belum banyak orang yang aware pada kasus ini. saya sendiri terkadang juga langsung mengklik link yang diberikan dari hasil respon yang diberikan ketika melakukan pencarian. kayanya yang harus diperhatikan selanjutnya bukan hanya link phishing, tapi juga link yang berptensi auto download apalagi bagi mahasiswa yang sering menggunakan chatgpt untuk menulis skripsi, karena disitu sering diberikan link ke file pdf. kalau saja file tersebut terkontaminasi, tentu juga bisa mencuri banyak hal yang ada dalam pcnya.

[joniboini]

Kalau ane ga salah paham, ChatGPT sepertinya mengquote salah satu web yang ngasih link market tersebut? Sepertinya ini jadi salah satu alasan kenapa beberapa jasa yang udah jelas" scam berani ngasih link atau berlagak seolah mereka jadi korban situs yang sama untuk ngasih link tersebut ke social media atau forum. Agak aneh sih kalau scrapernya ga ngebandingin dengan data lain, apalagi di tempat lain sampe udah ada flag kalau link suspicious, dsm.

Dulu ane sering nemuin beberapa thread yang ujungnya dibuat oleh scammer di forum ini, jauh sebelum LLM populer. Apakah modus yang dipake sama atau tidak keknya sulit dilacak sih.

[Antonas1]

Musti ekstra hati-hati, terutama jika menggunakan ChatGPT versi free (gratis), kayak gak ada filternya.
Saya sih gak begitu paham soal bahasa coding untuk pengaturan AI, tapi chatGPT adalah salah satu mesin AI yang paling sering halu saat memberikan respon atau jawaban, kesannya "yang penting respon".

Jadi kemungkinan dalam kasus tersebut, GPT ngasi link tanpa melakukan check. Hal itu bisa diatasi dengan kembali bertanya pada mesin: "apakah link tersebut aman atau tidak?", biasanya setelah itu dia langsung melakukan check ulang.

[Husna QA]

Musti ekstra hati-hati, terutama jika menggunakan ChatGPT versi free (gratis), kayak gak ada filternya.
—snip—

Apakah ada jaminan juga kalau menggunakan versi diatas free (semisal versi plus, pro atau lainnya) yang berbayar akan aman juga dari jawaban mesin AI tersebut yang berisi link berbahaya?
Sekelas google saja masih menyebarkan link phishing. Jadi dalam hal ini, yang sebenarnya dituntut adalah kewaspadaan dari user-nya itu sendiri dalam menerima setiap informasi ataupun link dari mesin AI/media lainnya.

ChatGPT juga bukan dikhususkan sebagai software Antivirus, apalagi anti phishing.

[ryzaadit]

Apakah ada jaminan juga kalau menggunakan versi diatas free (semisal versi plus, pro atau lainnya) yang berbayar akan aman juga dari jawaban mesin AI tersebut yang berisi link berbahaya?

Tidak kayaknya om, baik itu versi free/pro.

Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.

kayak gak ada filternya.
-snip
Jadi kemungkinan dalam kasus tersebut, GPT ngasi link tanpa melakukan check.
-snip

Perlu diingat buat semuanya OpenAI sudah melakukan disclaimer juga kalau resource yang dijadikan saran untuk agan² bisa saja salah, keliru dan bahkan informasi yang sudah kadarluarsa.
Source: https://help.openai.com/id-id/articles/9237897-searching-the-web-with-chatgpt


Dulu lawan kita sebenarnya Google Ads, yang di mana phishing/malware ini bisa mengalahkan Website Official dari segi SEO karena menggunakan fitur Ads dan ngebuat website scamjadi paling atas sedangkan yang official dibawahnya. Mungkin sekarang scammer udh mulai merambah ke Citied AI, dan terlebih lagi salah satu contoh Fitur AI sudah otomatis ON di browser² yang dimana ini bisa ngalahin Google Ads. Contoh Ringkasan AI ini bakal muncul paling utama (Top) & kalau menurut saya pribadi ini bisa saja gara² Inject Prompt.

Salah satu bahan menarik, GEO (Generative Engine Optimization): https://github.com/OffcierCia/Generative-Engine-Optimization yang berfokus agar website kita ini dijadikan salah satu saran atau sitasi dari AI-Engine. Biasanya sih memang agak sulit agar website kita ini disitasi oleh AI, saya sebagai moderator sudah coba untuk project sayamulai dari Reddits, Quora, dll, karena memang mereka mengambil dari beberapa-beberapa resource tapi tetep ajh crawler index AI belum bisa ngebaca atau butuh waktu.

Cuman bisa ajh si scammer ini ngebypas itu semua dengan Inject Prompt langsung ke AI nya agar menyarankan website phising dia yang sudah di Inject Promp seolah-olah itu adalah website official. Mungkin ini bakal work untuk skala project yang kecil, kalau proyek2 ternama inject prompt nya bakal kalah karena resource untuk AI nya sudah banyak sekali ngambil sitasi dari website² lain.

[joniboini]

Perlu diingat buat semuanya OpenAI sudah melakukan disclaimer juga kalau resource yang dijadikan saran untuk agan² bisa saja salah, keliru dan bahkan informasi yang sudah kadarluarsa.

Keknya sebagian user secara implisit terlalu percaya dengan AI dan mengabaikan dislcaimer kayak gini sih. Ane nemu diskusi di forum sebelah di mana topiknya seputar saran dokter vs AI, dan OPnya secara pede bilang kenapa dokter diagnosanya beda, sementara AI lebih benar dsm? Padahal dia sendiri ga punya ilmu untuk mengukur opini mana yang lebih tepat dan sitasi yang dipake AI sendiri juga berasal dari internet. Entah ini positioning karena pengen diskusinya lebih rame atau murni karena benar-benar percaya sama AI (bahwa mereka ga pernah salah, kalaupun salah itu berarti salah quote doang).