[Peringatan] ChatGPT Memberikan Link Phising Sekitar $2,1 Juta Telah Dicuri

[AakZaki]

Dalam beberapa kesempatan saya sering kali mengingatkan untuk tidak membuka link sembarang, terutama yang berkaitan dengan Crypto kita.
Karena link phising, malware atau scrypt jahat sering kali mengincar kita yang punya Crypto, apalagi kita yang sering scrolling media social tentang Crypto sehingga algoritma media sosial tersebut juga merekomendasikan pada link-link yang kadang berbahaya.

Intinya kita harus selalu waspada ketika ingin:

• Download Wallet baru
• Ketika ingin mengakses Web3 baru atau website yang baru kita kenal.

Paling minimal lakukan pengecekan pada VirusTotal atau Scan Repo ketika hendak ingin mendownload wallet atau ingin berinteraksi ke website yang baru kita kenal.

Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.
Baru-baru ini ChatGPT memberikan link phising ketika seseorang bertanya dimana tempat menjual token FLR, chatGPT memberikan link sebagai berikut:

Code:

https://sceptre.network

Dalam pengecekan VirusTotal memang terdeteksi oleh vendor:

• Forcepoint ThreatSeeker: Phishing
• alphaMountain.ai: Suspicious

Dengan adanya kejadian ini semoga ini menjadikan sebuah pelajaran atau sebagai pengingat bahwa di Internet penuh dengan tipu-tipu dan orang-orang yang serakah.

Source:
- https://x.com/vesnuhin/status/2065626112084836845
- https://x.com/osint_based/status/2095523994996707526

[MAAManda]

Bertambahnya pengetahuan kita tentang keamanan tidak membuat kita lepas dari jerat potensi kejahatan siber, karena disaat kita merasa semakin bagus dalam hal keamanan, para kriminal siber diluar sana juga ikut meningkatkan kapabilitas atau cara mereka menipu. Beberapa hari yang lalu salah satu penghuni SFI kita menjadi korban hijack & kehilangan sekitar 1,2 Bitcoin (BTC).

Sekarang, ditempat dimana banyak orang mengambil rujukan seperti ChatGPT, sudah bersarang cara-cara kriminal itu melancarkan aksi mereka. Padahal, kalau dipikir-pikir, orang yang punya banyak aset sudah pasti punya kapabilitas & sadar dengan keamanan. Artinya, masalahnya ada di tingkat kewaspadaan.

Saya setuju dengan yang dikatakan om @AakZaki bahwa jangan mudah percaya & selalu verifikasi terlebih dahulu sebelum melakukan eksekusi pada aksi apapun.

Menurut saya, ada 3 cara paling gampang bagi penipu untuk mencuri aset kripto kita, melalui keyboard hijack, address poisoning & wallet/address approval phising, berikut cara yang biasa saya gunakan agar terhindar dari ketiga cara penipuan itu:

Keyboard Hijack
Solusi: Selalu memastikan bahwa akan mengirim ke address yang sesuai, jika ternyata tidak sesuai, saya tidak akan melanjutkan pemrosesan di device yang sedang digunakan & lanjut melakukannya di device yang lain (beruntungnya sejauh ini saya belum pernah mengalami keyboard hijack)

Address Poisoning
Solusi: Biasanya saya melakukan pencocokan string atau teks di platform pencocokan yang bisa ditemui di Google, contohnya seperti pada gambar dibawah ini:

Penampakan Address Identik

Sumber Gambar: Text Compare!

Penampakan Address Tidak Identik

Sumber Gambar: Text Compare!

Tidak ada salahnya kehilangan beberapa menit waktu kita untuk melakukan verifikasi daripada harus kehilangan aset yang kita dapatkan dari bekerja berbulan-bulan sampai bertahun-tahun.

Wallet/Address Approval Phising
Solusi: Selalu gunakan wallet/address dummy saat approval dengan sedikit balance didalamnya ($5 - $10) untuk melihat bagaimana pengalaman yang kita alami setelah approval terjadi sebagai percobaan, kalau memang tidak terjadi apa-apa maka lanjutkan dengan jumlah transaksi yang awalnya kita niatkan.

Yah, itu saja sedikit insight dari saya, alhamdulillah dari mulai saya menginjakkan kaki di industri kripto, saya tidak pernah sekalipun jadi korban hacking dengan nilai kecil ataupun fantastis sampai membuat saya tidak bisa tidur .

[taufik123]

Paling minimal lakukan pengecekan pada VirusTotal atau Scan Repo ketika hendak ingin mendownload wallet atau ingin berinteraksi ke website yang baru kita kenal.
Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.

Sekarang ini sudah jadi kebiasaan saya, selalu cek di Virustotal apapun yang berkaitan dengan data, website dan wallet yang ingin didownload.
Biar gak ada kejadian kenak malware atau semacamnya, Jadi ngerti sekarang ini.
Meskipun AI udah canggih tapi ada saja celahnya yang bisa di manfaatkan bahkan tanpa ada kroscek apapun dari AI.
Kadang AI.nya juga goblok ngasih jawaban muter-muter tanpa konteks yang jelas.

Saya cek link website phising tersebut di google sekarang langsung ada peringatan

Keyboard Hijack
Solusi: Selalu memastikan bahwa akan mengirim ke address yang sesuai, jika ternyata tidak sesuai, saya tidak akan melanjutkan pemrosesan di device yang sedang digunakan & lanjut melakukannya di device yang lain (beruntungnya sejauh ini saya belum pernah mengalami keyboard hijack)

Terkait Keyboard Hijack kayakanya kmaren member SFI ada yang kenak dan kehilangan 1.2BTC.
[TANYA] Lacak BTC yang dicuri

3 hari yang lalu 1.2 BTC saya hilang karna clipboard hijack.

[masulum]

Address Poisoning
Solusi: Biasanya saya melakukan pencocokan string atau teks di platform pencocokan yang bisa ditemui di Google, contohnya seperti pada gambar dibawah ini:

ada cara yang lebih sederhana dan bisa dilakukan secara offline untuk mengecek apakah konten sama atau tidak dengan menggunakan excel dengan rumus dasar.

Code:

=IF(A1=B1,"SAMA","TIDAK SAMA")

rumus ini diaplikasikan pada sheet excel kolom C.

Terkait Keyboard Hijack kayakanya kmaren member SFI ada yang kenak dan kehilangan 1.2BTC.
[TANYA] Lacak BTC yang dicuri

peringatan ini sudah sangat lama juga dibahas di forum ini oleh LoyceV (en - id). sejak membaca tread tersebut, hingga saat ini, saya menggunakan file excel seperti di atas untuk melakukan pengecekan. Tentu saja, saya membandingkan karakter secara manual setelah mengcopy dari wallet ke excel. ini memudahkan saya untuk tidak selalu mengecek secara manual.
kembali pada kasus link phishing pada chatGPT, ini masalah baru yang memang belum banyak orang yang aware pada kasus ini. saya sendiri terkadang juga langsung mengklik link yang diberikan dari hasil respon yang diberikan ketika melakukan pencarian. kayanya yang harus diperhatikan selanjutnya bukan hanya link phishing, tapi juga link yang berptensi auto download apalagi bagi mahasiswa yang sering menggunakan chatgpt untuk menulis skripsi, karena disitu sering diberikan link ke file pdf. kalau saja file tersebut terkontaminasi, tentu juga bisa mencuri banyak hal yang ada dalam pcnya.

[joniboini]

Kalau ane ga salah paham, ChatGPT sepertinya mengquote salah satu web yang ngasih link market tersebut? Sepertinya ini jadi salah satu alasan kenapa beberapa jasa yang udah jelas" scam berani ngasih link atau berlagak seolah mereka jadi korban situs yang sama untuk ngasih link tersebut ke social media atau forum. Agak aneh sih kalau scrapernya ga ngebandingin dengan data lain, apalagi di tempat lain sampe udah ada flag kalau link suspicious, dsm.

Dulu ane sering nemuin beberapa thread yang ujungnya dibuat oleh scammer di forum ini, jauh sebelum LLM populer. Apakah modus yang dipake sama atau tidak keknya sulit dilacak sih.

[Antonas1]

Musti ekstra hati-hati, terutama jika menggunakan ChatGPT versi free (gratis), kayak gak ada filternya.
Saya sih gak begitu paham soal bahasa coding untuk pengaturan AI, tapi chatGPT adalah salah satu mesin AI yang paling sering halu saat memberikan respon atau jawaban, kesannya "yang penting respon".

Jadi kemungkinan dalam kasus tersebut, GPT ngasi link tanpa melakukan check. Hal itu bisa diatasi dengan kembali bertanya pada mesin: "apakah link tersebut aman atau tidak?", biasanya setelah itu dia langsung melakukan check ulang.

[Husna QA]

Musti ekstra hati-hati, terutama jika menggunakan ChatGPT versi free (gratis), kayak gak ada filternya.
—snip—

Apakah ada jaminan juga kalau menggunakan versi diatas free (semisal versi plus, pro atau lainnya) yang berbayar akan aman juga dari jawaban mesin AI tersebut yang berisi link berbahaya?
Sekelas google saja masih menyebarkan link phishing. Jadi dalam hal ini, yang sebenarnya dituntut adalah kewaspadaan dari user-nya itu sendiri dalam menerima setiap informasi ataupun link dari mesin AI/media lainnya.

ChatGPT juga bukan dikhususkan sebagai software Antivirus, apalagi anti phishing.

[ryzaadit]

Apakah ada jaminan juga kalau menggunakan versi diatas free (semisal versi plus, pro atau lainnya) yang berbayar akan aman juga dari jawaban mesin AI tersebut yang berisi link berbahaya?

Tidak kayaknya om, baik itu versi free/pro.

Di Internet kita jangan mudah percaya pada siapapun termasuk dari LLM.

kayak gak ada filternya.
-snip
Jadi kemungkinan dalam kasus tersebut, GPT ngasi link tanpa melakukan check.
-snip

Perlu diingat buat semuanya OpenAI sudah melakukan disclaimer juga kalau resource yang dijadikan saran untuk agan² bisa saja salah, keliru dan bahkan informasi yang sudah kadarluarsa.
Source: https://help.openai.com/id-id/articles/9237897-searching-the-web-with-chatgpt


Dulu lawan kita sebenarnya Google Ads, yang di mana phishing/malware ini bisa mengalahkan Website Official dari segi SEO karena menggunakan fitur Ads dan ngebuat website scamjadi paling atas sedangkan yang official dibawahnya. Mungkin sekarang scammer udh mulai merambah ke Citied AI, dan terlebih lagi salah satu contoh Fitur AI sudah otomatis ON di browser² yang dimana ini bisa ngalahin Google Ads. Contoh Ringkasan AI ini bakal muncul paling utama (Top) & kalau menurut saya pribadi ini bisa saja gara² Inject Prompt.

Salah satu bahan menarik, GEO (Generative Engine Optimization): https://github.com/OffcierCia/Generative-Engine-Optimization yang berfokus agar website kita ini dijadikan salah satu saran atau sitasi dari AI-Engine. Biasanya sih memang agak sulit agar website kita ini disitasi oleh AI, saya sebagai moderator sudah coba untuk project sayamulai dari Reddits, Quora, dll, karena memang mereka mengambil dari beberapa-beberapa resource tapi tetep ajh crawler index AI belum bisa ngebaca atau butuh waktu.

Cuman bisa ajh si scammer ini ngebypas itu semua dengan Inject Prompt langsung ke AI nya agar menyarankan website phising dia yang sudah di Inject Promp seolah-olah itu adalah website official. Mungkin ini bakal work untuk skala project yang kecil, kalau proyek2 ternama inject prompt nya bakal kalah karena resource untuk AI nya sudah banyak sekali ngambil sitasi dari website² lain.

[joniboini]

Perlu diingat buat semuanya OpenAI sudah melakukan disclaimer juga kalau resource yang dijadikan saran untuk agan² bisa saja salah, keliru dan bahkan informasi yang sudah kadarluarsa.

Keknya sebagian user secara implisit terlalu percaya dengan AI dan mengabaikan dislcaimer kayak gini sih. Ane nemu diskusi di forum sebelah di mana topiknya seputar saran dokter vs AI, dan OPnya secara pede bilang kenapa dokter diagnosanya beda, sementara AI lebih benar dsm? Padahal dia sendiri ga punya ilmu untuk mengukur opini mana yang lebih tepat dan sitasi yang dipake AI sendiri juga berasal dari internet. Entah ini positioning karena pengen diskusinya lebih rame atau murni karena benar-benar percaya sama AI (bahwa mereka ga pernah salah, kalaupun salah itu berarti salah quote doang).

[TedMosby]

Kayaknya Open AI dan Google masih belum kelar dengan masalah2 seperti itu ya. Beberapa bulan lalu saya baca soal orang yg bisa manipulasi hasil ChatGPT dan Gemini (serta AI overviewnya di Google) hanya dalam 20 menit lewat fake artikel yg dia compose sendiri [1]. Artikel tersebut di upload di media2 kredibel, dan besoknya, artikel2 bohong itu udah dikonsumsi AI sebagai sebuah fakta.

Lalu apa yang dilakukan oleh Google untuk mengatasi itu, menurut saya sangat2 minim effort sekali. Google update Spam Policy mereka [2], yang menyatakan situs yang melanggar akan diturunkan rankingnya atau bahkan dihapus dari pencarian. Menurut saya, untuk kita yg nyari info yg berpotensi jadi korban ya ga ngaruh apa2. Tapi kalo dari sisi websitenya, pasti akan jadi mikir dua kali. Hukuman kayak gitu sih memang ngaruh banget ke sisi websitenya. Sebagai contoh, CMIIW, Cointelegraph aja kena strike dari Google, yg bikin mereka ga nongol di pencarian, walau bukan karena kasus manipulasi AI juga sih.

Menurut saya, AI memang sebagai alat, tapi kalo alat itu ngasi pernyataan yang merugikan, perusahaan pemiliknya sih harus bertanggung jawab. Ini juga sempat kejadian di Jerman. Pengadilan Jerman beberapa bulan lalu menyatakan Google bersalah karena AI overviewnya memberikan pernyataan palsu. Jadi ada pihak yang dinyatakan dan dikaitkan dengan tindak penipuan, walau mereka tidak pernah melakukannya [3].

Nah nyambung sama itu, saya juga sempat baca kalo Google ngenalin metode/konsep baru namanya "Faithful Uncertainty" [4]. Jadi intinya Google ngajarin AI-nya ngaku gak tahu atau jujur atas ketidakyakinannya daripada harus berhalusinasi.

Sumber:
[1] https://www.bbc.com/future/article/20260519-google-tackles-attempts-to-hack-its-ai-results
[2] https://developers.google.com/search/docs/essentials/spam-policies
[3] https://www.wired.com/story/a-court-has-ruled-that-google-is-liable-for-false-statements-generated-by-ai-overviews/
[4] https://venturebeat.com/orchestration/google-researchers-introduce-faithful-uncertainty-allowing-llms-to-offer-best-guesses-instead-of-hallucinations

[abhiseshakana]

Perlu diingat buat semuanya OpenAI sudah melakukan disclaimer juga kalau resource yang dijadikan saran untuk agan² bisa saja salah, keliru dan bahkan informasi yang sudah kadarluarsa.

Keknya sebagian user secara implisit terlalu percaya dengan AI dan mengabaikan dislcaimer kayak gini sih. Ane nemu diskusi di forum sebelah di mana topiknya seputar saran dokter vs AI, dan OPnya secara pede bilang kenapa dokter diagnosanya beda, sementara AI lebih benar dsm? Padahal dia sendiri ga punya ilmu untuk mengukur opini mana yang lebih tepat dan sitasi yang dipake AI sendiri juga berasal dari internet. Entah ini positioning karena pengen diskusinya lebih rame atau murni karena benar-benar percaya sama AI (bahwa mereka ga pernah salah, kalaupun salah itu berarti salah quote doang).

Sepertinya kondisi saat ini paranoia yang sehat itu wajib hukumnya,  secara lengah sedikit aset langsung bablas.  Baca thread agan @AakZaki tentang chatgpt yang berhalusinasi dan  kasih link pishing, jadi ingat obrolan siang ini dengan adik saya yang seorang IT/ programmer professional yang bekerja sebagai cybersecurity spesialis salah satu bank terbesar di Singapura. Anak saya melihat profesi-nya sebagai pekerjaan yang wow mengingat gajinya yang fantastis dan mengutarakan bahwa ingin menjadi IT juga. Tapi saya justru terkaget kaget dengan tanggapan adik saya.

Adik saya berkata bahwa masa depan profesi IT itu suram, apalagi dengan adanya AI, bahkan seorang programmer, hacker dan pekerjaan yang berkaitan dengan digital thing faktanya bekerja lebih optimal dan edisien dengan AI. Ibaratnya tanpa AI, seorang karyawan berprestasipun bisa ketinggalan (rugi waktu dan tenaga). Tetapi tetap basic knowledge, kompetensi serta pilihan tools AI yang kita pilih berpengaruh pada output serta efektivitasnya. AI bisa membantu melakukan identifikasi dimana mempermudah pekerjaan memeriksa jutaan data mentah. ketika AI menemukan anomali dan ancaman tersembunyi, peran IT menindaklanjuti dengam mengambil keputusan akhir. Deteksi serangan oleh AI memungkinkan IT bisa melakukan isolasi dan forensik digital.

[mu_enrico]

AI nampak bisa menggantikan search engine, sehingga ane tidak heran kalau ada yang klik link-link yang diberikan oleh AI. Dan untuk masa depan pun, AI sepertinya akan menggantikan search engine. Jadi untuk keduanya, baik search engine maupun AI chat, ada baiknya diperiksa dahulu:
(1) urlnya aneh tidak
(2) https & certificate sah
(3) install intivirus yang ada online security / web shield -> otomatis ngasih tau kalau phising

Nah kadang ponsel ini yang bermasalah karena seringkali android disangka tidak butuh proteksi, sehingga kalau device-nya sudah capable ada baiknya diinstall antivirus juga yang ada web shield-nya. Tentu sebagai tambahan keamanan saja kalau pas luput tidak ngecek (1) & (2).

---

terkait keyboard hijack, ini seringkali ada yang luput ngecek digit yang mana saja. Sebetulnya 4 digit awal* & 4 digit akhir sudah cukup menurunkan risiko. Tapi kadang ada yang salah memaknai.
Misal:
bc1ql49ydapnjafl5t2cp9zqpjwe6pdgmxy98859v2
Ini yang bermakna bukan bc1q, jadi yang dicocokkan seharusnya l49y dan 59v2 -> butuh waktu 88 detik untuk bikin vanity addressnya.
Kalau yang dicek bc1q & 59v2  -> hanya butuh waktu 0,000084 detik untuk bikin vanity addressnya.
Kalau naik 5+5 = ~25 jam
Kalau naik 6+6 = ~2,9 tahun
Makin kebawah makin bagus terutama kalau address isinya banyak.

[MAAManda]

Keyboard Hijack
Solusi: Selalu memastikan bahwa akan mengirim ke address yang sesuai, jika ternyata tidak sesuai, saya tidak akan melanjutkan pemrosesan di device yang sedang digunakan & lanjut melakukannya di device yang lain (beruntungnya sejauh ini saya belum pernah mengalami keyboard hijack)

Terkait Keyboard Hijack kayakanya kmaren member SFI ada yang kenak dan kehilangan 1.2BTC.
[TANYA] Lacak BTC yang dicuri

Betul yang itu om, saya sengaja tidak mention username-nya karena mempertimbangkan sisi psikologis beliau, takutnya jadi teringat terus sama kesalahannya yang sudah berlalu.

ada cara yang lebih sederhana dan bisa dilakukan secara offline untuk mengecek apakah konten sama atau tidak dengan menggunakan excel dengan rumus dasar.

Code:

=IF(A1=B1,"SAMA","TIDAK SAMA")

rumus ini diaplikasikan pada sheet excel kolom C.

Muncul error terus waktu saya coba om, tampaknya untuk orang seperti saya kurang cocok menggunakan cara seperti ini, lebih cocok menggunakan cara yang saya beritahukan di postingan sebelumnya, orang Indonesia suka cara yang praktis, belum lagi kebanyakan pengadopsi kripto di Indonesia masih menggunakan smartphone, cukup ribet menurut saya .

[TedMosby]

AI nampak bisa menggantikan search engine, sehingga ane tidak heran kalau ada yang klik link-link yang diberikan oleh AI. Dan untuk masa depan pun, AI sepertinya akan menggantikan search engine. [...]

Semakin mainstream penggunaan AI untuk dapat info ini itu, semakin berkurang juga relevansi dari search engine. Paling pake search engine untuk nyari keberadaan website yg baru2 aja. Selebihnya oper ke AI. Itu juga yg bikin SEO makin bergeser dan sekarang orang lebih cenderung ngelakuin GEO, Generative Engine Optimization. Sebenarnya banyak istilah sih, ada yg bilang AI SEO, AEO, LLMO, AISO juga. Apapun itu, tujuannya sama, optimisasi biar website kita dikutip dan tampil di AI yg banyak orang gunakan.

SEO -> primary audiencenya orang, yg ngaruh itu klik orang2nya ke konten tujuan, backlink, keywords.
GEO -> primary audiencenya AI, yg ngaruh seberapa mudah AI menggunakan dan reuse kontennya, serta kutipan2 dan sumber2 dari media kredibel.
Kalo SEO, perlu beberapa bulan sebelum optimal, tapi GEO bisa hitungan hari saja atau jam.

CMIIW, tapi menurut saya gamenya tetap sama dengan SEO, off-page, dengan berusaha bikin website tampil di media2 kredibel dulu. Saya sering lihat iklan2nya di media sosial yg jual backlink di media2 besar indo untuk kebutuhan GEO ini. Maksud saya, segampang itu untuk bisa dikutip sama AI. Kita tinggal siapin uangnya aja.

Ganti policy bilang AI cuma alat atau bilang AI bisa salah aja gak cukup kayaknya. Karena habit orang itu memang bener2 udah berubah, serba ingin cepat dijaman apa2 perlu ada hooknya di awal, di jaman 3 detik di awal jadi waktu krusial untuk orang bisa stay sebelum cari hal lainnya 

Mungkin perlu menu untuk mengabaikan domain2 tertentu sebagai sumber. Atau ini sudah ada ya? Kalau tidak, mungkin diincludekan di prompt saja.