Suatu malam di grup chat komunitas, ada seorang kawan yang mendadak histeris. Dia baru saja melihat notification bar di ponselnya: beberapa ribu token USDT dan dua NFT kesayangannya melayang keluar dari wallet dalam hitungan tiga detik.

Panik? Pasti. Yang bikin dia makin frustrasi, dia merasa tidak pernah membocorkan Seed Phrase atau Private Key ke siapa pun. Dia tidak pernah menyimpan fotonya di Google Drive, tidak pernah menuliskannya di Notepad, dan tidak pernah membagikannya ke admin Telegram gadungan.

“Trus kenapa saldoku bisa ludes bersih tanpa sisa?” tanyanya dengan nada lemas.

Jawabannya sederhana tapi menyakitkan: dia baru saja menandatangani izin smart contract beracun di sebuah website phishing.

Di dunia kripto, masih banyak orang yang mengira kalau pintu utama rumah (wallet) sudah dikunci pakai Seed Phrase, maka rumah itu bakal aman selamanya. Padahal, saat kamu asal mengeklik Connect Wallet dan menyetujui transaksi (Sign/Approve) di situs yang salah, kamu sama saja seperti membukakan jendela belakang dan menyerahkan surat kuasa penuh kepada pencuri untuk menguras isi rumahmu kapan saja mereka mau.

Agar kamu tidak bernasib sama seperti kawan tadi, mari kita bongkar habis bagaimana cara membaca izin smart contract dengan benar dan bagaimana mengenali jebakan website phishing sebelum semuanya terlambat.

Bagian 1: “Connect Wallet” vs “Approval” – Beda Tipis yang Akibatnya Beda Jauh

Sebelum kita masuk ke istilah-istilah teknis yang kelihatan rumit, mari kita pakai perumpamaan sederhana. Bayangkan kamu datang ke sebuah klub malam eksklusif.

  1. Connect Wallet itu ibarat kamu menunjukkan KTP di pintu masuk. Penjaga pintu cuma melihat nama dan umurmu (public address). Dia bisa tahu berapa saldomu jika dia mengeceknya di blockchain explorer, tapi dia sama sekali tidak bisa mengambil uang di dompetmu. Menghubungkan wallet secara teori hanya memberikan akses membaca (read-only access) kepada website tersebut.
  2. Smart Contract Approval itu ibarat kamu menandatangani Surat Kuasa di atas meterai. Di dalam surat kuasa itu tertulis: “Saya mengizinkan Pihak B untuk mengambil uang di rekening saya sampai batas jumlah tertentu, kapan saja dia butuh, tanpa perlu minta izin lagi kepada saya.”

Nah, di sinilah letak masalah utamanya.

Saat kamu menggunakan aplikasi Decentralized Finance (DeFi) yang sah seperti Uniswap atau PancakeSwap untuk menukar token, aplikasi tersebut memang butuh izin Approval. Program komputer di balik Uniswap perlu wewenang untuk menarik USDT dari wallet kamu guna ditukarkan menjadi Ethereum. Tanpa izin itu, transaksi swap tidak akan pernah bisa berjalan.

Masalahnya, peretas (hacker) dan pembuat situs phishing memanfaatkan mekanisme dasar blockchain ini. Mereka membuat smart contract jahat yang menyamarkan “Surat Kuasa Pengurasan Wallet” menjadi tombol menarik seperti “Claim Free Airdrop”, “Verify Wallet”, atau “Mint Free NFT”.

Bagian 2: Cara Membaca Pop-Up Izin Smart Contract (Biar Nggak Asal Klik “Confirm”)

Ketika kamu berinteraksi dengan sebuah dApp, dompet kriptomu bakal mengeluarkan jendela kecil (pop-up) berisi rincian transaksi. Sayangnya, 90% pengguna kripto punya kebiasaan buruk: langsung scroll ke bawah dan klik ‘Confirm’ tanpa membaca satu kata pun.

Mulai hari ini, hentikan kebiasaan itu. Berikut adalah perintah dan istilah penting yang wajib kamu cermati:

Nama Perintah / PeringatanTingkat Risiko & Dampak
SetApprovalForAllSANGAT TINGGI (Khusus NFT). Mengizinkan akses penuh ke SELURUH koleksi NFT kamu.
Unlimited Allowance / IncreaseAllowanceTINGGI (Token Fungibel). Mengizinkan penarikan token tanpa batas jumlah secara terus-menerus.
Permit / Permit2 (EIP-2612)SANGAT TINGGI. Tanda tangan off-chain tanpa gas fee yang bisa menguras saldo seketika.

1. SetApprovalForAll (Lonceng Bahaya Utama untuk Kolektor NFT)

Jika kamu sedang berada di situs minting NFT, lalu muncul pop-up dengan tulisan SetApprovalForAll, tahan jarimu.

  • Apa artinya? Perintah ini memberikan izin kepada smart contract untuk memindahkan seluruh NFT dari koleksi di wallet-mu tanpa perlu konfirmasi tambahan di masa depan.
  • Kapan ini aman? Hanya jika kamu sedang mendaftarkan NFT untuk dijual di marketplace resmi seperti OpenSea atau Blur.
  • Kapan ini jebakan? Jika kamu berada di situs yang katanya mau bagi-bagi Airdrop gratis. Mengapa kamu harus memberi izin akses ke seluruh asetmu hanya untuk menerima barang gratisan? Itu adalah situs penipuan.

2. Unlimited Allowance / IncreaseAllowance

Saat kamu mau melakukan swap token di DEX, dompet biasanya akan menanyakan batas token yang boleh diakses. Secara default, banyak platform meminta akses Unlimited (tanpa batas). Angkanya sering kali terlihat fantastis seperti 115792089... (nilai MAX_UINT256).

Jika kamu memberikan izin Unlimited kepada smart contract dari proyek abal-abal, peretas bisa menguras seluruh saldo token tersebut kapan saja, bahkan berbulan-bulan setelah kamu meninggalkan situsnya.

Tips Bijak: Manfaatkan fitur Custom Spend Limit di dompet digitalmu. Jika kamu hanya ingin swap sebesar 100 USDT, ketik angka 100 secara manual di kolom batas izin.

3. Tanda Tangan Digital Permit / Permit2 (Jebakan Tanpa Gas Fee)

Ini adalah salah satu modul serangan favorit para peretas modern. Dengan standar Permit, kamu bisa menyetujui pemindahan aset hanya dengan Tanda Tangan Digital Off-Chain tanpa mengeluarkan gas fee sepeser pun.

Kamu masuk ke situs phishing, klik “Claim Airdrop”, lalu muncul pop-up dari MetaMask yang cuma menyuruh klik tombol “Sign”. Karena tidak ada biaya gas, kamu merasa aman. Padahal, tanda tangan itu memberikan hak penuh kepada peretas untuk menarik tokenmu.

Bagian 3: Membongkar 6 Ciri Website Phishing Kripto yang Wajib Diwaspadai

Membaca izin smart contract adalah pertahanan tingkat kedua. Pertahanan utamanya: jangan pernah menginjakkan kaki di situs berbahaya. Peretas Web3 zaman sekarang mengkloning tampilan situs resmi hingga 99% mirip. Berikut 6 ciri utamanya:

Tanda-Tanda / ModusCara Kerja & Bahayanya
Domain TyposquattingMenggunakan huruf mirip atau ekstensi domain beda (contoh: lido-app.fi alih-alih situs resmi).
Psikologi Urgency & FOMOMemasang timer palsu (“Klaim sisa 5 menit!”) untuk memicu kepanikan pengguna agar asal klik.
Pop-Up AgresifMeminta sambungan wallet secara paksa berulang-ulang saat situs baru dibuka.
Elemen Web MatiNavigasi dan footer (seperti Terms of Service) tidak bisa diklik, kecuali tombol Claim Airdrop.
Google Ads TeratasMembeli iklan pencarian (Sponsored) untuk meniru situs asli di posisi teratas Google.
Minta Seed PhraseMengaku butuh 12-24 kata rahasia untuk “verifikasi” atau “perbaikan node”.

1. Alamat Domain Menggunakan Trik Typosquatting

Peretas akan mendaftarkan nama domain yang sepintas terlihat persis. Contohnya situs asli revoke.cash diubah menjadi revoke-cash.app. Simpan situs-situs penting di folder Bookmark browsermu untuk menghindari salah ketik.

2. Memanipulasi Psikologi Pengguna (Taktik Urgency & FOMO)

Jika kamu melihat penunjuk waktu mundur berukuran besar yang menuntutmu segera klaim token sebelum hangus, berhati-hatilah. Proyek kredibel jarang membuat sistem klaim yang terburu-buru hingga hitungan menit.

3. Elemen Halaman Lain “Mati” atau Cuma Pajangan

Coba uji situs yang kamu curigai dengan mengeklik menu Privacy Policy atau ikon media sosial di footer. Pada situs phishing, tombol-tombol ini biasanya mati. Tujuan mereka hanya satu: membuat tombol “Connect Wallet” berfungsi.

4. Meminta Seed Phrase dengan Alasan Apapun

Tidak ada satu pun dApp, admin Telegram, atau smart contract sah di muka bumi ini yang membutuhkan 12 atau 24 kata Seed Phrase milikmu. Memasukkannya berarti menyerahkan seluruh hartamu.

Bagian 4: Alat Tempur Wajib & Langkah “Wallet Hygiene”

Sama seperti tubuh kita, dompet kripto juga butuh pembersihan rutin. Terapkan 4 langkah Wallet Hygiene berikut:

  1. Rutin Memutus Akses dengan Revoke.cash: Setelah berinteraksi dengan dApp, buka Revoke.cash. Cari kontrak yang sudah tidak digunakan, klik Revoke, dan cabut surat kuasanya.
  2. Gunakan Extension Simulator Transaksi: Pasang ekstensi keamanan seperti Pocket Universe atau ScamSniffer. Alat ini akan mensimulasikan transaksi di latar belakang dan memberi peringatan merah jika mendeteksi skrip penguras dompet.
  3. Terapkan Strategi Multi-Wallet: Pisahkan asetmu. Gunakan Cold Wallet (Ledger/Trezor) khusus untuk simpanan jangka panjang yang tidak pernah dikoneksikan ke internet.
  4. Sediakan Burner Wallet: Buat wallet khusus uji coba yang hanya diisi sedikit saldo gas fee untuk berburu airdrop atau mencoba proyek baru. Jika terkena hack, dana utamamu tetap aman.

Bagian 5: Pertolongan Pertama Jika Terlanjur Klik Transaksi Mencurigakan

Jika kamu baru menyadari telah mengonfirmasi transaksi di situs mencurigakan, lakukan tindakan darurat ini dalam hitungan detik:

  • Segera Disconnect: Buka ekstensi MetaMask, pilih Connected sites, lalu klik ikon tempat sampah (Disconnect) pada situs tersebut.
  • Revoke Cepat: Meluncur ke Revoke.cash, cari izin transaksi yang baru saja kamu tanda tangani, lalu klik Revoke.
  • Pindahkan Aset Tersisa: Jika yang bocor adalah Seed Phrase, buat wallet baru di perangkat yang bersih dan segera kirimkan seluruh sisa aset ke alamat baru tersebut sebelum disedot oleh sweeper bot.

Ringkasan untuk Selalu Diingat

Di dunia terdesentralisasi, tidak ada customer service yang bisa membatalkan transaksi blockchain. Selalu pegang teguh prinsip: Don’t Trust, Verify. Baca setiap pop-up izin selama 10 detik, dan patuhi batas izin token. Tetap waspada, amankan asetmu, dan selamat menjelajahi ekosistem Web3 dengan lebih bijak!

Catatan & Disclaimer Edukasi

Artikel ini disusun murni untuk tujuan edukasi keamanan teknologi informasi dan blockchain, serta bukan merupakan nasihat keuangan atau arahan investasi (Non-Financial Advice). Selalu lakukan riset mandiri (DYOR) sebelum berinteraksi dengan protokol Web3 apa pun.

Referensi Resmi & Panduan Keamanan Tambahan