Anatomi Serangan Multi-Accounting: Studi Kasus pada Platform iGaming

Multi-accounting di iGaming bukan sekumpulan orang yang membuka akun tambahan. Ini adalah operasi profesional yang menjalankan ratusan identitas sintetis melawan satu platform, mengekstraksi welcome bonus, cashback, dan pembayaran promosi.

Ekonominya berjalan karena biaya marginal sebuah akun baru mendekati nol — email, nomor telepon sekali pakai, dokumen identitas curian atau sintetis — sementara pembayaran marginal per akun adalah uang sungguhan. Dengan nilai ekstraksi $50–200 per akun, 200 akun terhadap satu operator setara dengan penghasilan penuh waktu.

Ini adalah pembedahan pola serangan nyata yang terlihat terhadap operator iGaming Eropa pada 2025. Nama dan detail spesifik disamarkan. Tekniknya masih relevan hingga kini.

Persiapan: infrastruktur yang diinvestasikan penipu

Seorang multi-accounter serius mengoperasikan infrastruktur kecil:

• Langganan residential proxy — biasanya 911.re, IPRoyal, atau Smartproxy — yang menyediakan IP bergilir di puluhan negara. Biaya: $50–200 per bulan.

• Sebuah antidetect browser — Multilogin, Dolphin Anty, GoLogin, Kameleo, atau AdsPower. Masing-masing alat ini menjalankan profil browser terisolasi dengan fingerprint yang dikonfigurasi secara independen. Biaya: $50–150 per bulan.

• Pasokan identitas berumur — entah dibeli di forum (paket email + telepon + pindaian dokumen terverifikasi) atau dihasilkan. Biaya: $5–30 per identitas.

• Infrastruktur pembayaran — kartu prabayar, dompet cryptocurrency, atau money mule untuk menerima kemenangan tanpa jejak akun yang terpadu.

Total biaya bulanan: $200–500. Dengan nilai ekstraksi $84.000 selama 6 bulan, ROI-nya 20–30x.

Siklus hidup satu akun penipuan tunggal

Setiap akun sintetis mengikuti pola yang serupa:

1. Profil antidetect browser dijalankan dengan fingerprint segar (canvas, WebGL, timezone, bahasa, resolusi layar).

2. Residential proxy ditetapkan — biasanya dari negara yang cocok dengan dokumen identitas.

3. Registrasi diselesaikan dengan identitas berumur: email, verifikasi telepon lewat layanan SMS-forwarding, unggahan ID berupa dokumen curian atau hasil generasi.

4. KYC lolos — karena dokumen identitasnya nyata (curian) atau dipalsukan secara profesional.

5. Deposit kecil dilakukan — sering $10–30 — untuk mengaktifkan welcome bonus.

6. Bonus dimainkan melalui pilihan permainan tertentu yang memaksimalkan expected value terhadap wagering requirement.

7. Kemenangan ditarik ke metode pembayaran yang terkait dengan identitas.

8. Akun ditelantarkan atau dijual.

Seluruh siklus memakan waktu 2–7 hari. Operator profesional menjalankan 20–40 akun secara bersamaan dalam berbagai tahap pipeline ini.

Apa yang dilihat operator

Tim fraud platform iGaming memperhatikan anomali pada Q2:

• Rasio pembayaran bonus pada akun baru naik dari 47% ke 63% dari kuartal ke kuartal.

• Chargeback tetap rendah — artinya ini bukan kartu curian. Penipuannya bersifat struktural, bukan transaksional.

• Tiket dukungan dari pemain yang kembali dan tidak mengenali riwayat akunnya sendiri meningkat.

Tim mencurigai multi-accounting tetapi tidak punya perkakas untuk membuktikannya dalam skala besar. Setiap akun, bila dilihat sendirian, tampak sah. Nama berbeda, IP berbeda, fingerprint berbeda, dokumen berbeda.

Apa yang sebenarnya ditunjukkan sinyal-sinyal itu

Ketika sinyal device intelligence diterapkan secara retroaktif ke populasi akun, 217 akun runtuh menjadi satu operator. Inilah yang mengikat mereka bersama.

Sinyal 1. Pemakaian ulang TLS fingerprint

Meski IP dan browser fingerprint berbeda, 217 akun hanya berbagi 3 hash JA4 unik. TLS fingerprint dihasilkan oleh pustaka klien — dan meski antidetect browser dapat memalsukan canvas dan WebGL, ia memakai satu build Chromium yang mendasari untuk TLS handshake. Tiga hash JA4 sesuai dengan tiga versi antidetect browser yang di-upgrade oleh operator secara bertahap.

Sinyal 2. Waktu perilaku antar sesi

217 akun tersebut memiliki waktu registrasi yang mengelompok dalam jendela sempit: sebagian besar 09:00–11:00 UTC pada hari kerja. Pemain nyata mendaftar di sepanjang siklus 24 jam penuh. Jam kerja manusia dalam satu timezone tunggal membongkar operator itu terlepas dari timezone apa pun yang diklaim setiap profil palsu.

Sinyal 3. Pola permainan bonus

Strategi wagering di seluruh akun hampir identik: pilihan permainan yang sama (slot low-variance tertentu), ukuran taruhan yang sama relatif terhadap bonus, durasi sesi yang sama sebelum permintaan penarikan. Pemain nyata punya preferensi yang sangat beragam. Keseragaman statistik di seluruh akun hanya mungkin dengan skrip atau playbook.

Sinyal 4. Mikro-pola gerakan mouse

Antidetect browser memalsukan fingerprint visual tetapi tidak memalsukan bagaimana manusia bergerak sepanjang sesi. Jejak mouse di 217 akun memiliki karakteristik bersama — kurva Bezier dengan profil akselerasi yang konsisten, pola spesifik kembali ke koordinat yang sama sebelum mengeklik. Semuanya dihasilkan oleh otomasi operator.

Sinyal 5. Klasterisasi endpoint pembayaran

Meski nama pada akun berbeda, penarikan disalurkan melalui 8 dompet cryptocurrency unik. Pemakaian ulang dompet di antara akun-akun yang tampaknya tak berhubungan adalah salah satu sinyal terkuat yang tersedia dan tidak memerlukan deteksi apa pun di level perangkat.

Sinyal 6. Inkonsistensi enumerasi font

Antidetect browser memalsukan daftar font, tetapi hanya dari pustaka preset. Seluruh 217 akun melaporkan enumerasi font dari kumpulan terbatas berisi 5 template. Pengguna nyata memiliki kombinasi font terpasang yang unik. Template itu tertangkap karena keragamannya terlalu rendah.

Sinyal 7. Klasterisasi WebGL renderer

Antidetect browser merotasi string GPU, tetapi dari kumpulan tetap — biasanya 20–30 GPU konsumen paling umum. Di 217 akun, string GPU muncul dengan distribusi yang mustahil: kelebihan representasi berat pada model Intel dan NVIDIA tertentu, tanpa representasi perangkat keras AMD sama sekali. Populasi pengguna nyata memiliki distribusi GPU yang lebih luas.

Sinyal 8. Resolusi layar yang tidak standar

Antidetect browser menghasilkan dimensi layar, tetapi sering dengan resolusi non-standar agar tampak unik. Layar nyata berukuran 1366×768, 1920×1080, 2560×1440, 3840×2160, atau segelintir ukuran laptop. 217 akun tersebut mencakup dimensi seperti 1892×1063 yang tidak dipakai oleh layar nyata mana pun.

Sinyal 9. Tumpang tindih sesi antar akun

Dua akun masuk dari IP yang sama dalam selisih milidetik satu sama lain, tetapi dari profil antidetect yang berbeda. Log sesi mengungkap bahwa ketika satu akun keluar, akun lain masuk dalam hitungan detik — dari IP berbeda tetapi dengan karakteristik koneksi terdeteksi yang mengaitkan keduanya. Kumpulan proxy berotasi tetapi tindakan operator tidak.

Sinyal 10. Korelasi sumber deposit

Deposit cryptocurrency ke akun-akun tersebut berasal dari 12 dompet sumber. Analisis blockchain menunjukkan bahwa 12 dompet ini menerima dana dari satu akun exchange hulu tunggal. Analisis follow-the-money mengaitkan seluruh klaster.

Sinyal 11. Pola linguistik tiket dukungan

Sebagian akun membuka tiket dukungan selama 6 bulan itu. Pola bahasanya — frasa spesifik, kekhasan tata bahasa, salah eja pada kata yang sama — dibagikan di antara akun-akun yang terdaftar di negara dan pengaturan bahasa yang berbeda.

Mengapa sinyal tunggal gagal

Salah satu sinyal ini secara sendiri bisa saja kebetulan. Dua akun dengan TLS fingerprint yang sama bisa jadi dua pengguna pada versi Chrome yang sama. Dua akun dengan jejak mouse serupa bisa jadi dua pemain yang mengeklik dengan cara mirip. Dua penarikan ke dompet yang sama bisa jadi dompet keluarga yang dibagi bersama.

Kekuatannya ada pada kombinasi. Ketika 217 akun berbagi TLS fingerprint, endpoint dompet, template font, resolusi layar, pola mouse, dan waktu perilaku — probabilitas independensinya runtuh ke nol.

Apa yang dilakukan platform

Setelah analisis retroaktif, platform menerapkan penilaian real-time saat pembuatan akun. Setiap akun baru menerima skor kemiripan terhadap akun yang ada berdasarkan 11 sinyal plus 40 lainnya. Di atas ambang, akun ditandai untuk peninjauan manual sebelum kelayakan bonus. Di bawah ambang, akun berjalan normal.

Dalam 60 hari, rasio penyalahgunaan bonus kembali ke baseline. Operator entah pindah ke platform lain atau berinvestasi jauh lebih besar pada infrastrukturnya — kedua hasil itu adalah kemenangan.

Polanya bisa digeneralisasi

Perkakas spesifiknya berubah. Sinyalnya berevolusi. Tetapi dinamika mendasarnya — operator penipuan profesional yang membangun infrastruktur untuk mengekstraksi nilai dari program akuisisi yang murah hati — stabil di seluruh iGaming, crypto exchange, fintech yang gemar promo, dan platform mana pun yang membayar untuk akuisisi pengguna.

Satu-satunya pertahanan yang berhasil adalah korelasi sinyal di level platform. Pertahanan perimeter (blokir IP, blokir perangkat, aturan akun tunggal) gagal karena operator mengoptimasi cara memutarinya. Korelasi sinyal berhasil karena operator tidak dapat mengacak segalanya dengan murah — biaya independensi sejati per akun melebihi pembayaran per akun.

Celah itulah yang membuat deteksi multi-accounting layak secara ekonomi. Itu juga yang menjadikannya permainan yang bisa dimenangkan oleh pihak bertahan.