Di dunia Ethereum, smart contract, dan DeFi, saat ini terdapat ancaman nyata yang lebih berbahaya daripada peretasan dompet kripto konvensional, yang tidak memerlukan pencurian frasa seed, kunci pribadi, peretasan komputer, atau dompet – cukup dengan satu tanda tangan digital yang ceroboh dan tidak dipikirkan matang-matang.
Baru-baru ini, seorang pengguna jaringan Ethereum kehilangan 999.999 USDT setelah mengonfirmasi permintaan persetujuan token palsu. Insiden ini menjadi bukti terbaru bahwa penipuan persetujuan token telah menjadi salah satu skema paling efektif untuk mencuri aset.
Berdasarkan informasi yang dipublikasikan oleh layanan Scam Sniffer, korban hanya menandatangani permintaan izin penggunaan token yang menipu. Pada saat yang sama, skrip otomatis mencoba menarik tepat 1.000.000 USDT. Meskipun transaksi tersebut tidak terlaksana karena kekurangan 631 dolar di saldo, hanya dalam 36 detik skrip tersebut memperbaiki kesalahannya sendiri dan mentransfer sisa saldo ke akun pihak ketiga melalui tiga transaksi: 639.999, 200.000, dan 159.999 USDT. Dengan demikian, pengguna kehilangan 999.999 USDT dalam sekejap. Perlu dicatat, kunci pribadi pemilik tidak diretas, karena pengguna sendiri yang memberikan izin kepada smart contract tersebut. Transfer tersebut tercatat dalam blok Ethereum nomor 25489460 dan 25489463.
Apa itu phishing persetujuan token
Fungsi `approve()`, dalam standar ERC-20, memungkinkan pengguna memberikan wewenang kepada smart contract untuk menghabiskan token miliknya. Ini merupakan mekanisme kerja yang umum untuk banyak protokol DeFi, misalnya: Uniswap, Aave, Curve, 1inch, dan beberapa lainnya.
Para penipu memanfaatkan berbagai celah, termasuk meniru desain layanan terkenal atau menawarkan airdrop palsu, pencetakan NFT, atau “verifikasi dompet”. Setelah menekan tombol, pemilik aset digital secara faktual dan atas kemauannya sendiri menandatangani izin tak terbatas (Unlimited Approval). Dan sejak saat itu, kontrak tersebut memperoleh hak sah untuk menarik aset tanpa konfirmasi tambahan dari pengguna. Dengan demikian, serangan semacam ini bukanlah peretasan blockchain — serangan ini hanya memanfaatkan kepercayaan manusia.
Mengapa hal ini berhasil: lima faktor teknis
1. Unlimited Allowance — izin tak terbatas untuk menggunakan token.
2. Multicall — penggabungan beberapa operasi menjadi satu transaksi, yang secara drastis mempercepat waktu respons.
3. Skrip secara instan menyesuaikan jumlah penarikan dengan saldo aktual.
4. Penggunaan persetujuan yang tertunda — dana dapat dicuri bahkan berjam-jam, berhari-hari, berminggu-minggu, atau bahkan berbulan-bulan setelah penandatanganan.
5. Visualisasi tanda tangan yang kurang memadai di banyak dompet Web3, sehingga pengguna tidak melihat konsekuensi nyata dari konfirmasi tersebut.
Faktor manusia tetap menjadi faktor penentu. Terburu-buru, kurangnya kewaspadaan, keinginan untuk mendapatkan airdrop gratis, atau rasa takut ketinggalan peluang menguntungkan (FOMO) lah yang mendorong seseorang untuk mengonfirmasi permintaan yang berbahaya.
Skala Masalah
Kasus-kasus semacam ini sudah lama bukan lagi kejadian tunggal dan jumlahnya terus meningkat – hanya sepanjang tahun 2025, serangan phishing telah menyebabkan kerugian sekitar 723 juta dolar AS dalam 248 insiden yang terkonfirmasi (menurut data CertiK). Pada paruh pertama tahun 2026, kerugian akibat phishing diperkirakan mencapai sekitar 366 juta dolar. Perlu dicatat bahwa selama tiga tahun terakhir, para ahli Scam Sniffer secara rutin mencatat pencurian berskala besar melalui permintaan persetujuan palsu, sementara otomatisasi serangan dan penggunaan AI hanya semakin meningkatkan efektivitasnya.
Cara agar tidak menjadi korban berikutnya
Pasar kripto saat ini semakin tidak lagi menyerupai pertarungan antara peretas dan sistem teknologi. Saat ini, sasaran utamanya bukanlah kerentanan teknis, melainkan manusia. Satu tanda tangan yang ceroboh dan “terburu-buru” bisa berakibat lebih merugikan daripada investasi bertahun-tahun.
Para ahli keamanan siber merekomendasikan untuk tidak pernah menandatangani pesan yang tidak jelas, secara rutin mencabut persetujuan token yang tidak diperlukan, dan menggunakan dompet hardware untuk menyimpan jumlah yang besar. Selain itu, para ahli menekankan pentingnya memiliki dompet terpisah untuk berinteraksi dengan proyek-proyek DeFi baru dan memeriksa alamat URL situs web dengan cermat sebelum menghubungkan dompet.
