Pemain akaun matriks, pemburu airdrop dan pengusaha multi-kedai e-dagang semuanya kena tamparan hebat awal 2026: Morelogin dilaporkan disyaki diserang sehingga aset pengguna lesap (menurut pemantauan komuniti masa nyata, satu transaksi sahaja melebihi USD85,000; kaitan vektor serangan dengan MoreLogin masih disiasat, belum disahkan). Ini bukan kes terpencil — tarik garis masa ke belakang, hampir semua pelayar cap jari arus perdana pernah kena. Anda masih serahkan nyawa dompet dan akaun kepada klien sumber tertutup? Artikel ini bagi anda satu jalan hidup yang tak bergantung pada mana-mana pelayar cap jari pihak ketiga.

Jelas dulu siapa artikel ini untuk. Tiga golongan, sila duduk di kerusi masing-masing: pertama, pemburu airdrop dan interaksi on-chain yang perlukan berpuluh persekitaran dompet yang tak saling berkait — satu persekitaran tercemar tak boleh menjerat yang lain; kedua, pengusaha multi-kedai e-dagang — Carousell, Lemon8, Shopee, satu orang banyak kedai, platform memang memburu “peranti sama, IP sama, akaun banyak”; ketiga, pemain matriks media sosial yang menternak akaun secara pukal untuk trafik. Persamaan ketiga-tiga bisnes ini: akaun ialah aset, kena ban atau kena curi bermakna duit betul-betul hangus. Kalau anda cuma pengguna biasa dengan satu akaun, artikel ini bukan untuk anda — tutup saja.

Kenapa pelayar cap jari jadi mesin ATM penggodam

Tengok tiga kira-kira berdarah dulu. 26 Ogos 2023, pengguna BitBrowser melaporkan dana MetaMask dipindahkan keluar secara pukal; laporan mingguan SlowMist menganggarkan kerugian sekurang-kurangnya USD520,000, dan sesetengah komuniti Cina melaporkan jumlah mungkin mencecah jutaan dolar. Januari 2025, peneraju industri AdsPower kena serangan rantaian bekalan (serangan rantaian bekalan: penggodam tak serang anda terus, sebaliknya mencemarkan saluran pengedaran vendor perisian yang anda percaya, menjadikan pakej kemas kini rasmi sebagai trojan): penggodam menceroboh perkhidmatan storan objek OSS pihak ketiga mereka, menggantikan plugin dompet seperti MetaMask yang diedarkan kepada pengguna dengan versi berpintu belakang — lebih 34,000 dompet terjejas, kerugian sekitar USD4.7 juta. Kemudian Mac 2026, kes disyaki kecurian masa nyata Morelogin. Analisis risiko keselamatan industri yang diterbitkan SlowMist pada Februari 2026 menyatakan dengan terus-terang: rantaian penghantaran kategori produk ini memang rapuh dari semula jadi.

Logiknya mudah: vendor pelayar cap jari menyimpan semua persekitaran, Cookie dan saluran pengedaran plugin untuk anda. Penggodam hanya perlu tembus satu pelayan vendor untuk menuai berpuluh ribu pengguna sekaligus. Makin ramai pengguna, makin besar nama, makin jadi sasaran utama. Yuran bulanan yang anda bayar sebenarnya membeli “berkongsi satu permukaan serangan dengan berpuluh ribu orang” (permukaan serangan: keseluruhan semua pintu masuk yang boleh diserang penggodam).

Kesimpulan teras: tiada pelayar cap jari yang selamat, hanya cara guna yang selamat

Letakkan penilaian ini di sini dulu: untuk operasi bernilai besar, mana-mana pelayar cap jari pun tak patut sentuh dompet. Alat kecil-kecilan skala kebocorannya kecil, tapi kualiti cap jari dan fungsinya selalunya tak mampu menampung bisnes; vendor besar fungsinya kuat, tapi itulah sasaran nombor satu penggodam. Ini simpulan mati.

Penyelesaian sebenar ialah memotong rantai kepercayaan sependek mungkin: semua data profil 100% di cakera keras tempatan, tiada sebarang penyegerakan awan; setiap persekitaran wajib terikat dengan proksi IP kediaman atau mudah alih berasingan, SOCKS5 diutamakan; akaun bernilai besar — jangan pasang satu pun plugin dompet dalam pelayar, tandatangan diserahkan kepada dompet perkakasan atau satu peranti bersih khusus. Capai tiga perkara ini, permukaan serangan anda tinggal komputer sendiri — dan komputer sendiri ialah satu-satunya bahagian yang anda benar-benar kawal.

Siram air sejuk dulu: batas skop penyelesaian ini

Satu kelemahan besar mesti diakui dengan jujur: Chrome asli berbilang profil tak boleh mengubah cap jari pelayar. Canvas, WebGL, senarai fon — 50 instans semuanya serupa. Kalau platform guna pengesanan cap jari agresif, akaun anda masih boleh dikaitkan secara pukal. Penyelesaian ini menyelesaikan pengasingan IP, pengasingan Cookie dan keselamatan dompet — bukan ubat segala penyakit.

Jadual keputusan mengikut senario:

• Keselamatan dompet, airdrop, multi-kedai e-dagang (backend kedai Carousell/Shopee/Lemon8): kawalan risiko terutamanya menilai IP dan sesi log masuk — penyelesaian ini lebih dari memadai, dan keselamatannya jauh mengatasi pelayar cap jari.
• Platform pengesanan cap jari agresif (TikTok, iklan Facebook, sesetengah media sosial antarabangsa): penyelesaian ini tak cukup — perlu digandingkan dengan sambungan pengubah cap jari, atau akui hadnya dan terus guna pelayar cap jari — tapi dompet jangan sekali-kali dipasang di dalamnya.
• Nak jimat tapi malas buat sendiri: teruskan pelayar cap jari pun boleh, tapi patuhi ketat peraturan besi pengasingan dana dalam Step 3.

Jangan berlari bogel ke medan perang — fikir dulu bisnes anda tersekat di lapisan kawalan risiko yang mana.

Step 1: Bina persekitaran Chrome berbilang profil yang betul-betul terasing

Pemahaman penting: fungsi “Tambah pengguna” dalam menu Chrome pengasingannya tidak menyeluruh — data asas masih berkongsi sebahagian. Jangan guna. Cara betul ialah gunakan parameter baris perintah untuk memaksa direktori data berasingan.

Di Windows, cipta pintasan baharu, isi sasaran:

1

"C:\Program Files\Google\Chrome\Application\chrome.exe" --user-data-dir="D:\ChromeProfiles\Account01"

Di macOS, guna terminal:

1

open -na "Google Chrome" --args --user-data-dir="/Users/namaanda/ChromeProfiles/Account01"

Setiap akaun tambahan, cipta satu folder berasingan — Account01 hingga Account50, tambah sesuka hati. Setiap instans Chrome yang dilancarkan melalui pintasan ini mempunyai Cookie, cache, sambungan dan sesi log masuk yang terasing secara fizikal sepenuhnya, tak bercampur langsung. Dua amaran: direktori data jangan sekali-kali diletakkan dalam folder penyegerakan awan seperti iCloud, OneDrive atau mana-mana perkhidmatan awan — kalau tidak, prinsip “tiada penyegerakan awan” terus terbatal; dan jangan guna aksara bukan ASCII atau ruang dalam laluan, untuk mengelakkan ralat pelik.

Bezakan “jumlah keseluruhan” dengan “berjalan serentak”: mesin RAM 16GB boleh menjalankan 10 hingga 15 instans serentak tanpa masalah, tapi jelas 50 akaun tak boleh dibuka serentak. Helah pengurusan: bahagikan mengikut kumpulan bisnes — contohnya 50 pintasan dipecahkan kepada 5 folder kumpulan, guna skrip batch untuk melancarkan satu kumpulan dengan satu klik (di Windows tulis fail .bat, satu baris start untuk setiap pintasan), siap satu batch tutup, buka batch seterusnya. Kosnya sifar — tak bayar satu sen pun yuran langganan.

Step 2: Ikat setiap persekitaran dengan IP berasingan

Persekitaran dah terasing, tapi IP masih berkongsi satu jalur lebar — kawalan risiko platform tetap boleh menyapu anda sekali gus. Penyelesaiannya: setiap instans Chrome dipasangkan proksi berasingan.

Fahami dulu rantaiannya, kalau tidak menyalin arahan mentah-mentah pasti gagal berhubung: IP kediaman yang anda beli — penyedia hulu memberi anda alamat SOCKS5 dengan nama pengguna dan kata laluan → anda jalankan klien proksi tempatan yang memajukan proksi berpengesahan hulu itu ke port tanpa pengesahan pada 127.0.0.1 mesin anda (10001, 10002… satu port setiap persekitaran) → Chrome melayari internet melalui port tempatan itu. Rantaian penuh: “Chrome → port tempatan → IP kediaman hulu → laman sasaran”.

Dua perangkap teknikal mesti dinyatakan awal: pertama, parameter –proxy-server Chrome tidak menyokong SOCKS5 dengan pengesahan nama pengguna/kata laluan, sedangkan hampir semua proksi kediaman di pasaran memerlukan pengesahan — jadi alamat hulu tak boleh diisi terus, mesti melalui pemajuan tempatan. Kedua, alat seperti Proxifier tak dapat membezakan berbilang proses chrome.exe yang sama nama, jadi penghalaan mengikut proses akan gagal dalam senario berbilang profil. Cara yang berfungsi: guna alat seperti gost atau mihomo untuk membuka satu port tempatan tanpa pengesahan bagi setiap proksi hulu, kemudian setiap instans Chrome diikat dengan port masing-masing melalui parameter baris perintah:

1

chrome.exe --user-data-dir="D:\ChromeProfiles\Account01" --proxy-server="socks5://127.0.0.1:10001"

Contoh pemajuan gost:

1

gost -L socks5://127.0.0.1:10001 -F socks5://namapengguna:katalaluan@alamat-proksi-hulu:port

Tak nak sentuh baris perintah? Boleh juga pasang sambungan proksi jenis SwitchyOmega dalam setiap profil berasingan — isi alamat hulu dan akaun/kata laluan melalui antara muka grafik, kesannya sama.

Dari segi pemilihan IP, kadar hayat IP kediaman dan IP mudah alih jauh lebih tinggi daripada IP pusat data, terutamanya untuk senario sensitif kawalan risiko seperti matriks TikTok, Lemon8 atau Carousell. Harga pula: proksi kediaman berasaskan trafik lebih kurang beberapa dolar seGB; IP kediaman statik eksklusif bulanan sekitar RM150 hingga RM450 sebaris; IP mudah alih lebih mahal — untuk 50 baris IP, bajet bulanan RM500 hingga RM2,000 adalah julat normal. Uji skala kecil dulu sebelum membeli pukal. Ingat: proksi percuma jangan disentuh langsung — benda itu sendiri ialah honeypot (perangkap yang sengaja diletakkan penggodam untuk memancing data anda).

Langkah pertama minimum yang boleh dilaksana: jangan terus beli 50 baris. Beli 1 proksi kediaman dulu, sediakan pemajuan tempatan, lancarkan satu instans Chrome, layari ipinfo.io dan pastikan IP yang dipaparkan sudah bertukar kepada IP proksi dan berbeza daripada IP jalur lebar anda. Bila rantaian ini sudah berjalan, barulah tambah skala. Setiap persekitaran baharu, buka halaman semakan IP untuk pengesahan dulu sebelum log masuk akaun.

Step 3: Peraturan besi pengasingan fizikal untuk dompet dan operasi dana

Macam mana USD4.7 juta AdsPower lesap? Pengguna memasang MetaMask dalam pelayar cap jari — bila rantaian pengedaran plugin vendor tercemar, kunci peribadi semua orang ibarat berbogel. Pengajaran mesti ditelan bulat-bulat: persekitaran operasi berfrekuensi tinggi (airdrop, interaksi, check-in) dan persekitaran penyimpanan dana mesti dua sistem yang terasing secara fizikal.

Standard pelaksanaan: dalam pelayar operasi harian hanya letak dompet burner (dompet kecil sekali pakai — hilang pun tak sakit hati), baki setiap dompet jangan sekali-kali melebihi jumlah yang anda sanggup hangus — cadangan had: dua tiga kali ganda pulangan jangkaan setiap akaun, contohnya setiap burner tak melebihi RM500–RM1,500 pada bila-bila masa; aset utama semuanya masuk dompet perkakasan atau satu pelayar khusus tanpa sebarang plugin pihak ketiga, hanya untuk tandatangan pemindahan; frasa pemulihan jangan sekali-kali masuk mana-mana perisian dokumen — dalam kes BitBrowser ada pengguna menyimpan kunci peribadi dalam bentuk teks biasa di WPS, ibarat menyerahkan kunci kepada pencuri. Kekerapan pengumpulan: tetapkan sekali seminggu — bila gas on-chain rendah, kumpulkan hasil dari persekitaran operasi ke dompet sejuk, supaya kerugian jika satu titik ditembusi ada silingnya.

Kira-kira sebenar penyelesaian ini

Kira lengkap, bukan setakat berapa yang dijimatkan. Penyelesaian pelayar cap jari: yuran bulanan untuk 50 persekitaran sekurang-kurangnya beberapa ratus ringgit, boleh mencecah lebih seribu (rujuk harga rasmi laman vendor), setahun RM2,000 hingga RM5,000 ke atas — tambah kos pembelian IP. Penyelesaian tempatan: yuran langganan sifar, kos IP tetap kena bayar (50 baris IP kediaman RM500–RM2,000 sebulan — ini kos yang kedua-dua penyelesaian tak dapat lari), tambah lebih kurang satu hujung minggu masa persediaan dan satu dua jam penyelenggaraan setiap bulan. Kesimpulannya jelas: penyelesaian tempatan menjimatkan yuran langganan dan risiko sistemik “vendor ditembusi, saya ikut kebumi” — harganya ialah kemahiran DIY anda dan sedikit masa penyelenggaraan. Kos IP tak boleh dijimatkan — sesiapa yang beritahu anda berbilang profil tak perlu beli IP, dialah yang sedang menipu anda.

Dari BitBrowser 2023 hingga kes disyaki Morelogin 2026, tiga tahun kategori ini berulang kali membuktikan perkara yang sama: menyumber luar keselamatan kepada vendor sumber tertutup bermakna menyerahkan nyawa kepada orang lain. Malam ini juga, pindahkan aset dompet pegangan terbesar anda ke alamat yang baru dijana, dan abadikan dompet lama itu — persekitaran selebihnya boleh dibina esok ikut tiga langkah di atas, perlahan-lahan pun tak apa.