#4/2 Solusi untuk audit SI tentang pembobolan uang pada uang virtual (cryotocurrency)

Cryptocurrency terdiri dari kata Crypto dan Currency, jadi bila ditinjau dari segi bahasa maka artinya adalah “Mata Uang Rahasia“, karena Crypto artinya Rahasia dan Currency adalah Mata Uang. Arti ini sedikit mirip dengan pengertian dari segi istilahnya, yaitu “Mata uang yang bersifat digital dan rahasia“.Jadi Cryptocurrency adalah mata uang yang berbentuk digital (digital/virtual currency) dan juga bersifat rahasia. Tentu saja karena berbentuk digital maka tidak ada bentuk fisiknya, kecuali anda buat sendiri dari emas atau logam lain dengan nilai sama. Tetapi walaupun tidak berbentuk fisik, mata uang ini tetap mempunyai nilai, karena bisa digunakan sebagai alat pembayaran,  contoh : digunakan untuk membeli Laptop atau Smartphone dari Apple menggunakan Bitcoin.

Cryptocurrency pertama yang dibuat adalah Bitcoin, makanya Bitcoin yang paling terkenal dimana-mana. Bitcoin dibuat oleh seorang “Anonymous” bernama Satoshi Nakamoto. Setelah Bitcoin muncul, akhirnya muncul juga coin-coin lain yang disebut Altcoin (Alternative Coin), Seperti Litecoin dan Dogecoin.

Sifat yang membedakan Cryptocurrency dengan uang biasa adalah sifatnya ter Desentralisasi dan rahasia. Terdesentralisasi artinya mata uang ini tidak diatur oleh orang/organisasi tertentu, termasuk pembuatnya sendiri. Jadi harganya bisa naik turun, bisa menjadi sangat mahal dan bisa sebaliknya turun drastis menjadi sangat murah.

Cryptocurrency juga bersifat rahasia, karena namanya juga “Crypto”. Cryptocurrency menggunakan metode kriptografi untuk mengamankan dan merahasiakan transaksi. Perlu diketahui bahwa banyak penjahat di Deepweb yang bertransaksi menggunakan Cryptocurrency karena memang FBI pun tidak akan tahu seseorang melakukan transaksi dengan pihak manapun untuk membayar sesuatu, jika menggunakan Cryptocurrency.

Melihat fenomena berkembangnya mata uang virtual bernama Bitcoin dan alternatif cryptocurrency yang lain, Cryptolocho melihat begitu pentingnya untuk segera menyampaikan langkah-langkah preventif dapat mengamankan bitcoin dan cryptocurrency yang kalian miliki dari gangguan dan ancaman para pelaku tindak kejahatan siber. Terdapat 3 kategori kejahatan terbesar dalam dunia cryptocurrency sebagai berikut:

• Kode Error
• Skema Phising
• Manajemen Dompet

A. KODE ERROR

Mungkin contoh yang paling terkenal dari Kode Error ini adalah serangan yang terjadi kepada DAO (Decentralized Autonomous Organization).
DAO alias Organisasi Otonomi Terdesentralisasi adalah kontrak cerdas (smart contract) yang kompleks dan bertujuan untuk merevolusi sistem Ethereum. DAO berperan sebagai penghimpun dana modal ventura yang terdesentralisasi yang dimaksudkan untuk mendanai semua DAPPS (Decentralized Application) masa depan yang dibuat dalam ekosistem Ethereum. Cara kerjanya cukup mudah dipahami, misalnya jika kalian tertarik dan bermaksud untuk mendanai suatu proyek aplikasi yang berbentuk DAPPS, maka kalian akan membeli “DAO Tokens” untuk sejumlah Ether. Token DAO adalah indikator bahwa kalian sekarang secara resmi merupakan bagian dari sistem DAO dan memberi hak suara dalam proyek tersebut.

Jika dalam suatu kasus, kalian sebagai pendana dalam DAO dan sekelompok orang lain tidak senang dengan suatu DAO, maka kalian bisa memisahkan diri dari DAO tersebut dengan menggunakan “Split Function” yang disediakan dalam platform tersebut. Dengan menggunakan fungsi ini, kalian akan mendapatkan kembali Ethereum yang telah diinvestasikan dan terdapat kemungkinan juga untuk kalian menciptakan “DAO” sendiri atau “Child DAO”.

Namun ada satu syarat dalam kontrak yang perlu diperhatikan, bahwa setelah berpisah dari DAO kalian tida dapat menggunakan Ether yang kalian dapatkan kembali selama 28 hari setelah perpisahan tersebut.

Dan inilah celah yang digunakan oleh para penjahat siber untuk merampok aset kalian. Para pendiri DAO menganggap masalah ini tidak cukup serius dan tidak akan berdampak signifikan bagi platform mereka, tapi sepertinya mereka salah.

Pada tanggal 17 Juni 2016, seseorang mengeksploitasi celah yang berada dalam DAO tersebut dan merampok dana sebesar $50 juta USD. Celah ini bagi hacker adalah celah yang cukup mudah ditemukan. Jadi dalam sistem DAO, apabila seorang pengguna bermaksud memisahkan diri dari sebuah DAO maka harus ada 2 langkah yang akan dilakukan:

1. Memberikan kembali sejumlah Ether kepada pengguna tersebut sebagai ganti token DAO mereka;
2. Meregister transaksi kedalam buku besar dan mengupdate saldo token internal.

Apa yang dilakukan oleh hacker adalah dengan membuat fungsi rekursif dalam permintaan pemisahan tersebut, maka beginilah skema pemisahan yang terjadi setelah ditembus oleh hacker:

1. Mengambil Token DAO dan memberikan sejumlah Ether yang diminta oleh pengguna;
2. Sebelum mereka meregister transaksi tersebut, fungsi rekursif itu tadi akan membuat pengulangan kode-kode dan memungkinkan pentransferan Ether secara berulang-ulang untuk token DAO yang sama.

Hal tersebut diatas terjadi terus menerus dan berlanjut sampai kerugian mencapai $50 juta USD. Apa yang terjadi kemudian, kalian pasti sudah dapat menebaknya, komunitas ether panik dan harga Ether turun dari $20 menjadi $13 dalam semalam. Sampai sekarang, kejadian ini masih merupakan kejadian hacking dalam dunia ICO yang terburuk yang pernah ada sepanjang sejarah. Adapun akibat lain dari adanya kejadian hacking ini adalah pembagian mata uang kripto Ethereum menjadi 2: Ethereum dan Ethereum Classic.

B. SKEMA PHISING

Hal inilah yang paling PENTING diperhatikan bagi kalian para pemula dan pasti akan sangat menggangu pikiran dan perasaan. Namun pertama-tama yang perlu kalian ketahui, apa sih Phising itu? Phising adalah sebuah perbuatan dimana para pelaku kejahatan memiliki informasi sensitif atau rahasia yang kalian miliki (seperti detail kartu kredit) dengan berpura-pura sebagai seorang yang kalian kenal atau memiliki reputasi. Para pelaku kejahatan ini biasanya menggunakan email, sosial media atau kalau yang niat ya membuat website dengan tampilan yang sama 100% (seratus persen).

Jika kalian aktif menggunakan Slack sebagai media untuk berkomunikasi dan bekerja sebagai tim, maka salah satu fungsi dalam Slack yaitu Slackbot seringkali mengirimkan pesan yang mengatasnamakan Tim Ether atau Tim ICO tertentu dan mengharuskan kalian melakukan sesuatu.

Misalnya, pemberitahuan tentang Segwit atau Hardfok atau apalah namanya dan dalam pesan tersebut kalian diwajibkan untuk login di akun wallet kalian melalui link yang mereka sediakan. Biasanya link tersebut akan membawa kalian ke website yang sama persis dengan website aslinya, namun jika kalian perhatikan secara seksama nama domain dan detail-detail lainnya, maka jelas, bahwa website tersebut adalah tipu-tipu. Hal yang sama seringkali terjadi pada situs-situs yang menjanjikan memberikan sesuatu yang luar biasa dengan cuma-cuma, kalian patut curiga dan sebaiknya menghindari mengunjungi situs-situs seperti itu. Percayalah, tidak ada sesuatu yang cuma-cuma dibawah matahari ini kecuali oksigen.

Jika kalian cukup lugu menanggapi pemberitahuan-pemberitahuan seperti itu, maka kalian akan segera panik dan bermaksud menyelamatkan aset kalian. Alih-alih untung, malah buntung, kalian memberikan private key kalian dengan sukarela kepada para penipu tersebut. Jadi tolong, jadi orang jangan panikan, kuasai diri, kuasai emosi dan perbanyak informasi.

C. MANAJEMEN DOMPET

Baik sebagai pengguna maupun sebagai developer, salah satu cara untuk mengamankan bitcoin dan cryptocurrency kalian adalah dengan memiliki manajemen dompet digital yang baik. Karena biasanya, manajemen dompet yang buruk meningkatkan kemungkinan kalian lalai melakukan sesuatu hal yang bodoh yang mengakibatkan kerugian finansial. Diantara banyak macam dompet itu, ada dompet pribadi yang berbentuk perangkat keras (trezor) yang dapat dibawa kemana saja, ada dompet di pasar bursa crypto, ada dompet di masing-masing cryptocurrency platform dan sebagainya.

Misalnya, di sebuah forum bitcoin kalian bermaksud menuliskan alamat publik kalian, eh kok malah yang ditulis kunci privat dan mungkin hanya dalam hitungan detik *puffffff* aset token telah tertransfer ke alamat ether yang lain. Sebagaimana kita ketahui, platform myetherwallet tidak dapat menyediakan two user autentification karena memang fiturnya yang demikian dan sedihnya lagi satu-satunya hal yang mampu membantu kalian hanyalah fungsi “Generate New Address”. Oleh karena itu, sebaik-baiknya langkah pencegahan untuk mengamankan bitcoin dan cryptocurrency kalian adalah dengan mengawasi diri sendiri akan apa yang hendak kalian lakukan.

Ada pula beberapa orang menyarankan menggunakan aplikasi atau adds-on penyimpan password, tapi sepertinya selalu ada masalah yang mengganjal terkait keamanan dan kenyamanan apabila tidak disimpan secara mandiri. Seaman apapun tetap ada kemungkinan si pemilik aplikasi menggunakan data-data yang kita tulis dalam aplikasi tersebut apabila ada sambungan ke internet dan semacamnya. Ingatlah, dalam keadaan apapun tidak ada satupun orang lain yang dapat dipercaya selain diri sendiri, karena kalian juga menyadari bahwa diri kalianpun tidak bisa dipercaya. Oleh karena itu simpanlah resiko dan kewajiban untuk mengatur dompet-dompet kalian pada diri kalian sendiri.

Bagi kalian yang berprofesi sebagai bounty hunter yang menerima token dari berbagai macam developer, adalah disarankan untuk menggunakan dompet ERC20 yang berbeda-beda setiap kali ikut kampanye bounty tersebut untuk menerima pembayaran. Hal ini dapat meminimalisir resiko hilangnya token kalian secara sekaligus, setidaknya apabila ada hal-hal yang tidak diharapkan terjadi, masih ada beberapa aset kalian yang bisa dimanfaatkan di dompet yang lain. Dengan melakukan manajemen dompet yang baik, kemungkinan kelalaian yang berakibat merugikan diri kita sendiri dapat dihindari.

Daftar Pustaka :
https://cryptocr.blogspot.co.id/2017/04/crypto-currency.html
http://cryptolocho.com/2017/10/19/cara-mengamankan-bitcoin/