Cara Mengenali Token Palsu dan Persetujuan Dompet yang Berbahaya
Nama, logo, atau ticker token tidak membuktikan identitasnya. Di banyak blockchain, token yang berbeda dapat menggunakan nama dan simbol yang sama, sementara situs web berbahaya dapat membuat permintaan di dompet terlihat seperti proses masuk biasa. Pertanyaan pentingnya adalah kontrak token atau aset mana yang sedang Anda hadapi, tindakan apa yang diizinkan oleh dompet Anda, serta akun atau kontrak mana yang akan menerima wewenang tersebut.
Memahami perbedaan ini membantu Anda menghindari dua bahaya yang berkaitan: membeli atau berinteraksi dengan token palsu, dan memberikan izin berbahaya kepada kontrak yang dapat memindahkan aset di kemudian hari. Merek yang familier maupun koneksi dompet yang berhasil tidak cukup untuk memastikan bahwa suatu interaksi aman.
Apa yang membuat token terlihat palsu—atau meyakinkan?
Di banyak jaringan token, token dikenali dari alamat kontraknya pada chain tertentu, bukan dari nama tampilannya. Penipu dapat membuat token dengan nama dan ticker yang sama seperti aset terkenal, lalu menyalin gambar dan deskripsinya. Dompet dan aplikasi portofolio mungkin menampilkan informasi yang familier tersebut meskipun token itu dikendalikan oleh kontrak yang tidak terkait.
Alamat harus diperiksa sesuai konteks: chain yang benar sama pentingnya dengan alamatnya. Token di satu jaringan tidak otomatis merupakan aset yang sama dengan token bernama mirip di jaringan lain. Bridge dapat membuat representasi token yang dibungkus atau dijembatani, yang memiliki kontrak sendiri dan bergantung pada pengaturan bridge tersebut. Jangan berasumsi bahwa dua ticker yang sama dapat saling menggantikan.
Telusuri alamat melalui situs web atau dokumentasi proyek yang sudah dikenal dan diakses secara mandiri, lalu cocokkan dengan penjelajah blockchain tepercaya untuk chain terkait. Waspadai iklan di hasil pencarian, pesan yang tidak diminta, balasan di media sosial, serta tautan yang dikirim orang asing. Situs web tiruan dapat mencantumkan alamat palsu, jadi pastikan Anda menggunakan kanal proyek yang asli dan jangan menganggap satu halaman saja sebagai bukti.
Peniruan identitas bisa lebih dari sekadar menyalin nama
Penipuan dapat menggunakan ejaan yang mirip, logo familier, pengumuman palsu, atau klaim bahwa token yang dikirim tanpa diminta merupakan airdrop. Beberapa token penipuan dikirim ke banyak dompet agar penerimanya melihat token tersebut di portofolio mereka. Munculnya token di dompet tidak berarti penerima terpilih untuk mendapatkan hadiah yang sah. Berinteraksi dengan situs webnya atau mencoba menjualnya dapat membuat dompet terpapar transaksi atau permintaan persetujuan berbahaya.
Kontrak token tertentu juga dapat memiliki pembatasan bawaan. Bergantung pada rancangan token, transfer atau penjualan mungkin dibatasi, biaya mungkin berlaku, atau pemiliknya mungkin memiliki kendali khusus. Keberadaan token di bursa terdesentralisasi tidak membuktikan bahwa token itu aman atau bahwa pemegang biasa dapat menjualnya. Transaksi uji dalam jumlah kecil hanya dapat memastikan fakta terbatas pada saat itu; transaksi tersebut tidak membuktikan bahwa kontraknya tepercaya atau perdagangan di masa mendatang akan berhasil.
Label penjelajah blockchain dan kode sumber yang terverifikasi dapat membantu penyelidikan, tetapi bukan merupakan bentuk dukungan atau jaminan. Verifikasi dapat memudahkan pemeriksaan kode; verifikasi tidak membuktikan bahwa kodenya aman, klaim proyeknya jujur, atau alamat tersebut benar-benar milik proyek yang ingin Anda gunakan. Perlakukan detail token sebagai bukti untuk dibandingkan, bukan sertifikat keamanan.
Fungsi sebenarnya dari persetujuan dompet
Menghubungkan dompet ke situs biasanya memungkinkan situs melihat alamat publik dan meminta transaksi. Dengan sendirinya, koneksi umumnya tidak memberikan kendali atas dompet kepada situs tersebut. Persetujuan berbeda: persetujuan dapat memberi akun atau kontrak tertentu di dalam chain wewenang untuk melakukan tindakan tertentu terhadap aset tertentu.
Untuk jenis token fungibel yang umum di jaringan kompatibel Ethereum, batas izin (allowance) memungkinkan alamat penerima izin memindahkan token tersebut dari dompet pemilik hingga jumlah yang disetujui. Router bursa terdesentralisasi, protokol pinjaman, atau aplikasi lain mungkin meminta batas izin agar dapat menjalankan transaksi. Jika penerima izin itu berbahaya, telah disusupi, atau bukan kontrak yang Anda maksud, izin tersebut dapat membahayakan token yang disetujui. Beberapa aplikasi meminta batas izin yang sangat besar atau secara efektif tidak terbatas agar pengguna tidak perlu menyetujui setiap transaksi berikutnya.
Persetujuan belum tentu langsung memindahkan aset. Persetujuan merupakan izin yang dapat digunakan nanti, sesuai aturan token dan kontraknya. Karena itu, klik yang tampak tidak berbahaya dapat berdampak serius: pemilik dompet mungkin sudah meninggalkan situs, tetapi batas izin yang aktif dapat tetap tercatat di chain. Sistem persetujuan berbeda-beda menurut blockchain dan jenis aset, sehingga dampak pastinya bergantung pada jaringan, token, dan kontrak yang terlibat.
Izin NFT memiliki bentuk yang terkait, tetapi berbeda. Pemilik dapat memberi wewenang kepada operator untuk mengelola atau memindahkan beberapa NFT dalam satu koleksi, bukan hanya menyetujui transfer satu item. Baca dengan saksama cakupan izin yang ditampilkan dompet. Izin yang mencakup seluruh koleksi bisa lebih luas daripada yang tampaknya diperlukan untuk satu kali pencantuman atau transfer.
Persetujuan bukan satu-satunya jenis tanda tangan
Dompet mungkin meminta Anda menandatangani pesan, bukan mengirim transaksi. Beberapa tanda tangan digunakan untuk tujuan yang tidak berbahaya, seperti membuktikan kendali atas suatu alamat, tetapi tanda tangan lain dapat mengizinkan suatu tindakan. Sistem permit token dan skema penandatanganan data bertipe lainnya dapat memungkinkan kontrak menggunakan otorisasi yang ditandatangani dalam kondisi tertentu. Permintaan tanda tangan mungkin tidak terlihat seperti persetujuan token biasa dan mungkin tidak mengharuskan Anda mengirim transaksi langsung di dalam chain.
Jangan berasumsi bahwa setiap tanda tangan aman hanya karena disebut sebagai proses masuk, klaim, atau verifikasi. Periksa penjelasan dompet mengenai hal yang ditandatangani, situs dan tindakan yang memicu permintaan tersebut, serta detail aset, penerima izin, jumlah, atau masa berlaku yang ditampilkan. Jika permintaannya tidak jelas atau tidak terduga, batalkan dan selidiki secara mandiri. Jangan pernah membagikan frasa pemulihan atau kunci privat untuk menyelesaikan persetujuan; interaksi kontrak yang sah tidak memerlukan keduanya.
Cara menilai permintaan sebelum menyetujuinya
Pastikan situs dan chain-nya benar. Buka aplikasi melalui sumber tepercaya, bukan melalui tautan yang dikirim tanpa diminta. Pastikan dompet terhubung ke jaringan yang ingin Anda gunakan. Nama situs yang familier di permintaan dompet tidak dengan sendirinya membuktikan bahwa situs web atau kontrak yang terhubung itu asli.
Baca detail izinnya. Kenali aset, penerima izin atau operator, jumlah, dan cakupannya. Cocokkan alamat penerima izin dengan informasi dari dokumentasi tepercaya aplikasi atau catatan kontraknya. Jika dompet atau pratinjau transaksi tidak memberikan cukup detail agar Anda memahami izin tersebut, jangan menebak.
Tanyakan apakah cakupannya sesuai dengan tindakannya. Swap atau pencantuman mungkin memerlukan batas izin token, tetapi bukan berarti setiap permintaan akses tak terbatas diperlukan. Jika dompet dan aplikasi mendukungnya, pertimbangkan batas izin yang cukup untuk penggunaan yang dimaksud. Batasan dapat mengurangi potensi paparan, tetapi tidak membuat kontrak berbahaya menjadi aman atau menjamin bahwa interaksi akan berhasil.
Berhenti sejenak jika ada permintaan tak terduga. Permintaan untuk menyetujui token yang tidak Anda pilih, memberikan akses luas ke seluruh koleksi, menandatangani data yang tidak jelas, atau mengunjungi situs untuk membuka token yang dikirim tanpa diminta patut diwaspadai. Membatalkan lebih aman daripada menyetujui sesuatu yang tidak dapat Anda jelaskan dengan bahasa sederhana.
Praktik pengelolaan izin
Periksa izin yang ada secara berkala, terutama setelah menggunakan aplikasi terdesentralisasi baru, mencetak NFT satu kali, atau situs yang tidak lagi Anda gunakan. Fitur dompet dan penjelajah chain tepercaya mungkin menampilkan batas izin token atau operator NFT. Pastikan alat tersebut benar-benar terkait dengan chain atau dompet yang ingin Anda periksa sebelum menghubungkannya; situs pemeriksa persetujuan palsu itu sendiri bisa menjadi situs phishing.
Jika suatu izin tidak lagi diperlukan, gunakan fitur dompet tepercaya atau interaksi kontrak untuk mengurangi batas izin atau mencabut izin operator. Pastikan chain dan penerima izin benar sebelum menandatangani transaksi pencabutan. Pencabutan biasanya memerlukan transaksi di dalam chain dan mungkin dikenai biaya jaringan. Pencabutan juga tidak membatalkan transfer yang sudah terjadi, mengembalikan aset yang dicuri, atau menghapus izin lain yang diberikan kepada kontrak berbeda.
Alat pengelolaan izin memiliki keterbatasan. Alat tersebut mungkin hanya menampilkan persetujuan yang dapat dideteksi pada chain atau standar token tertentu, dan labelnya mungkin tidak lengkap. Kontrak token dapat memiliki kendali tambahan yang berbeda dari batas izin biasa. Jika Anda menduga dompet telah disusupi, berhentilah menyetujui permintaan dan lakukan penyelidikan dari perangkat dan akun tepercaya yang bersih; mengubah satu batas izin bukan pengganti penanganan frasa pemulihan atau kunci privat yang telah disusupi.
Pertimbangkan untuk memisahkan aset yang digunakan untuk interaksi DeFi sehari-hari dari simpanan jangka panjang. Dompet khusus dapat membatasi jumlah aset yang terpapar ke aplikasi berisiko, tetapi tidak membuat aplikasi tersebut aman. Dompet perangkat keras dapat membantu melindungi kunci penandatanganan dari sejumlah ancaman perangkat, tetapi tidak dapat diandalkan untuk melindungi Anda dari persetujuan atas transaksi atau izin berbahaya yang tidak Anda pahami.
Bagaimana jenis kustodian mengubah situasi
Pada akun bursa kustodian, penyedia umumnya menyimpan atau mengendalikan aset di dalam chain atas nama pelanggan. Membeli aset spot di dalam akun tersebut tidak sama dengan memberi izin kepada kontrak DeFi dari dompet pribadi. Anda mungkin perlu menilai bursa dan pengaturan kustodiannya, tetapi persetujuan dompet di dalam chain biasanya relevan ketika Anda menghubungkan dompet ke aplikasi atau mengizinkan tindakan lain di dalam chain.
Setelah menarik token ke dompet kustodi mandiri, Anda mengendalikan kunci penandatanganan dan harus menilai transaksi serta izin yang Anda setujui. Derivatif, seperti futures atau kontrak lain yang ditawarkan melalui platform, berbeda lagi: instrumen tersebut memberikan eksposur kontraktual dan tidak selalu berarti Anda memiliki atau dapat menarik token yang mendasarinya. Posisi DeFi mungkin melibatkan kontrak pintar, persetujuan token, dan risiko tambahan seperti kegagalan kontrak atau protokol. Kenali apa yang sebenarnya Anda miliki sebelum menerapkan saran tentang alamat token atau persetujuan.
Aturan sederhana untuk mengambil keputusan
Sebelum berinteraksi, pastikan Anda dapat menjawab tiga pertanyaan: Apakah ini aset dan chain yang persis seperti yang saya maksud? Apakah ini aplikasi atau kontrak yang asli? Wewenang apa yang saya berikan, dan untuk berapa lama atau hingga jumlah berapa? Jika ada jawaban yang tidak pasti, berhentilah sejenak. Verifikasi detail melalui sumber tepercaya yang independen, alih-alih mengandalkan nama tampilan token, unggahan media sosial, atau permintaan persetujuan umum dari dompet.
Pengingat risiko: Token kripto, kontrak pintar, bridge, bursa, dan interaksi dompet dapat menimbulkan risiko kehilangan, pencurian, kegagalan teknis, atau terbatasnya kemampuan untuk memulihkan aset. Pemeriksaan persetujuan dan pengelolaan izin yang baik dapat mengurangi sejumlah risiko, tetapi tidak dapat menghilangkannya. Artikel ini bersifat edukatif dan bukan nasihat keuangan atau keamanan yang disesuaikan dengan kebutuhan pribadi.