Otorisasi Wallet dan Pencegahan Phishing: Cara Mencabut Izin Berbahaya dan Langkah Pertama Setelah Aset Dicuri

Kesimpulan di awal: sebagian besar pencurian aset on-chain terjadi karena Anda sendiri yang menandatangani

Istilah "wallet diretas hacker" sangat jarang terjadi di dunia nyata. Sebagian besar kerugian berasal dari dua jenis tindakan: memberikan izin ke kontrak berbahaya (token Anda dipindahkan oleh kontrak yang sah), dan menandatangani atau mengisi frasa pemulihan di situs phishing (Anda sendiri yang menyerahkan kendali). Transaksi on-chain tidak bisa dibatalkan, sekali tanda tangan bisa mengosongkan satu alamat.

Artikel ini membahas dua hal: cara memeriksa dan mencabut izin berbahaya, serta tindakan pencegahan sebelum transfer dan interaksi, plus prosedur darurat setelah terkena hack—yang terakhir semoga tidak pernah Anda butuhkan, tapi wajib diketahui sejak awal.

Risiko pertama: apa sebenarnya izin token (Approve)

Saat menggunakan DApp di on-chain (DEX, staking, pinjaman, dll.), Anda perlu "memberi izin" ke DApp tersebut untuk menggunakan token Anda—inilah Approve. Masalahnya ada di besaran izin:

• Izin dengan jumlah pasti: hanya mengizinkan penggunaan sebesar transaksi ini saja, berhenti setelah habis, relatif aman;
• Izin tanpa batas: mengizinkan penggunaan seluruh saldo token tersebut, dan berlaku selamanya. Jika yang Anda beri izin adalah kontrak berbahaya, ia bisa memindahkan seluruh token itu kapan saja berbulan-bulan kemudian, dan Anda tidak akan mendapat notifikasi apa pun saat itu.

Risikonya: banyak DApp demi "mengurangi langkah selanjutnya" secara default mengarahkan Anda memilih izin tanpa batas; sementara situs phishing menyamar sebagai DApp normal, dengan satu tujuan: membuat Anda menekan tombol izin itu.

Cara memeriksa dan mencabut izin berbahaya

1. Buka alat pengecekan izin (yang umum seperti revoke.cash, serta pengecekan izin bawaan block explorer, misalnya Token Approval Checker di explorer Ethereum);
2. Hubungkan wallet Anda—langkah ini hanya membaca data publik on-chain, tidak perlu frasa pemulihan, tidak perlu transfer;
3. Lihat daftar izin: fokus pada entri yang "jumlahnya tanpa batas" dan "penerima izinnya sudah tidak Anda gunakan";
4. Klik cabut (Revoke), konfirmasi transaksi di wallet. Pencabutan sendiri juga operasi on-chain, perlu bayar gas;
5. Biasakan diri: periksa setiap satu-dua bulan, terutama setelah ikut proyek baru.

Dua pengingat: pertama, saat mencabut pastikan situs mana yang Anda hubungi, penipu juga membuat "alat pencabut" palsu; kedua, jangan demi menghemat gas memberi izin tanpa batas ke situs asing, uang biaya transaksi yang dihemat itu bisa jadi sebanding dengan risiko seluruh saldo Anda.

Risiko kedua: enam bentuk phishing yang umum

1. Situs palsu

Domainnya hanya beda satu-dua karakter dari yang resmi, halamannya disalin persis. Pintu masuk yang umum adalah slot iklan di mesin pencari, tautan pendek di komunitas, dan "situs resmi baru" yang dikirim orang lewat chat pribadi. Cara pencegahan memang kuno tapi efektif: tambahkan situs yang sering dipakai ke bookmark, selalu masuk dari bookmark, jangan klik iklan pencarian.

2. App dan plugin palsu

"Wallet dengan nama sama" yang ditemukan di app store, serta notifikasi "plugin perlu diperbarui, silakan instal ulang" yang muncul di browser, bisa jadi palsu. Pencegahan: hanya instal dari tautan toko resmi yang diberikan situs resmi, pembaruan plugin lewat mekanisme pembaruan bawaan browser, jangan klik tombol "perbarui" di halaman pihak ketiga.

3. Chat pribadi yang mengaku resmi

"Admin", "customer service", "technical support" di komunitas atau pesan pribadi platform sosial, yang mengaku membantu menyelesaikan masalah, menerima kompensasi, ikut kegiatan. Pihak resmi yang sebenarnya tidak akan menghubungi Anda lewat chat pribadi untuk meminta apa pun. Siapa pun yang menghubungi lewat chat pribadi dan meminta Anda mengoperasikan aset, langsung laporkan dan blokir.

4. Address Poisoning

Ini penipuan yang banyak orang belum pernah dengar: penipu mengirim transfer sebesar 0 atau jumlah sangat kecil ke alamat Anda, alamat pengirimnya karakter awal dan akhirnya persis sama dengan alamat penerima yang sering Anda pakai. Tujuannya mengotori riwayat transfer Anda—saat Anda berikutnya menyalin alamat dari "riwayat", besar kemungkinan Anda menyalin alamat penipu. Pencegahan: saat transfer jangan pernah asal salin dari riwayat, gunakan buku alamat atau whitelist; saat mencocokkan minimal cocokkan 4-6 karakter di awal dan akhir.

5. Airdrop palsu dan halaman klaim palsu

Halaman "Anda berhak mengklaim airdrop XXX", menekan "klaim" sebenarnya membuat Anda menandatangani izin atau langsung transfer. Patokannya: airdrop yang asli tidak akan meminta Anda bayar dulu, memberi izin seluruh aset dulu, atau memasukkan frasa pemulihan.

6. Halaman upgrade wallet palsu / migrasi aset

Dengan alasan "peningkatan versi wallet" atau "aset versi lama perlu dimigrasi", membuat Anda memasukkan frasa pemulihan ke halaman web, atau memulihkan wallet di App palsu. Ingat: frasa pemulihan hanya boleh dimasukkan ke App wallet resmi yang Anda buka sendiri, halaman apa pun selain itu adalah phishing.

Tiga tindakan sebelum transfer

1. Cocokkan alamat: 4-6 karakter di awal dan akhir harus cocok satu per satu; kalau jumlahnya besar, cocokkan semua karakter. Tambahkan tujuan transfer jangka panjang ke buku alamat atau whitelist;
2. Tes dengan jumlah kecil dulu: pertama kali transfer ke suatu alamat, kirim jumlah kecil dulu, pastikan masuk baru kirim sisanya;
3. Konfirmasi di layar hardware wallet: jika Anda pakai hardware wallet, alamat penerima yang ditampilkan di software wallet bisa diubah malware, alamat di layar perangkat yang bisa dipercaya—inilah nilai terpenting hardware wallet, pastikan benar-benar dipakai.

Jika sudah terkena hack: apa yang harus dilakukan pertama kali

Urutannya penting, dua langkah pertama semakin cepat semakin banyak yang bisa diselamatkan:

1. Segera pindahkan aset yang tersisa: gunakan wallet yang baru dibuat (frasa pemulihan baru, sebaiknya dibuat di lingkungan perangkat yang bersih) untuk menerima aset yang belum dipindahkan. Jangan pakai wallet lama, dan jangan hanya instal ulang App;
2. Cabut semua izin wallet lama: jika penyebab kebocoran bukan frasa pemulihan (misalnya hanya izin atau tanda tangan phishing), segera cabut izin, agar token lain di alamat yang sama tidak terus dipindahkan;
3. Simpan bukti: hash transaksi pencurian, alamat penipu, waktu, jumlah yang terlibat, serta tangkapan layar situs atau plugin mencurigakan yang Anda kunjungi saat itu;
4. Jika aset mengalir ke exchange terpusat: segera hubungi customer service dan jalur kepatuhan exchange tersebut, ajukan bukti untuk meminta pemblokiran. Transfer on-chain tidak bisa dibatalkan, tapi setelah dana curian masuk ke akun platform, mekanisme pembekuan platform punya peluang mengulur waktu—semakin cepat diajukan semakin besar peluangnya;
5. Lapor polisi dan catat: laporkan ke polisi setempat, simpan tanda terima, sekaligus bisa memakai alat analisis on-chain untuk terus melacak jalur dana;
6. Evaluasi ulang titik kebocoran: apakah karena memberi izin, klik phishing, atau frasa pemulihan bocor? Kalau penyebabnya tidak ditemukan, wallet baru pun bisa dikuras dengan cara yang sama.

Harus jujur dikatakan: begitu aset on-chain dipindahkan, peluang pemulihannya sangat kecil. Inilah alasan semua tindakan pencegahan di atas layak diluangkan waktu.

Daftar perlindungan harian

1. Pisahkan aset berlapis: exchange untuk dana trading, hot wallet untuk interaksi harian jumlah kecil, hardware wallet untuk simpanan jangka panjang jumlah besar;
2. Gunakan profil browser terpisah (atau perangkat cadangan) khusus untuk operasi on-chain, jangan dicampur dengan browsing harian;
3. Semua situs yang sering dipakai ditambahkan ke bookmark, jangan klik iklan hasil pencarian dan tautan chat pribadi mana pun;
4. Sebelum tanda tangan baca jelas isi popup: tanda tangan (Sign) dan izin (Approve) bukan hal yang sama, izin lebih berbahaya, utamakan pilih "jumlah pasti";
5. Periksa riwayat izin sebulan sekali, cabut yang tidak dipakai;
6. Skenario apa pun yang meminta frasa pemulihan, kunci privat, atau kode verifikasi, tolak semua.

Pertanyaan umum

Apa bedanya tanda tangan dan izin?

Tanda tangan biasanya hanya membuktikan "kamu adalah pemilik alamat ini", tidak langsung memindahkan aset; sedangkan Approve menyerahkan "izin untuk menggunakan sejumlah token" kepada sebuah kontrak, dan jika limitnya cukup besar, pihak lain bisa memindahkan asetmu kapan saja. Saat melihat pop-up persetujuan, pastikan dulu tujuan dan limitnya sebelum menekan konfirmasi.

Apakah mencabut izin perlu biaya?

Ya. Pencabutan itu sendiri adalah transaksi on-chain yang memerlukan biaya gas, besarnya tergantung tingkat kepadatan jaringan saat itu. Jadi strategi yang lebih baik adalah menghindari izin tanpa batas sejak awal, bukan menunggu daftar izin menumpuk baru dibersihkan sekaligus.

Saya menaruh semua aset di satu wallet, apakah risikonya besar?

Ya. Satu wallet hanya terikat pada satu frasa pemulihan, sekali bocor semuanya hilang; kunci privat yang sering digunakan untuk berinteraksi memang lebih rentan terekspos. Cara yang wajar adalah berlapis: dana on-chain yang sering dipakai untuk interaksi taruh di hot wallet, aset yang disimpan jangka panjang taruh di hardware wallet, dan dana untuk keperluan trading taruh di akun CEX besar yang pencatatannya aman dan punya bukti cadangan, misalnya Binance, OKX, Gate.io. Dengan begitu, jika ada masalah di salah satu bagian, kerugiannya masih bisa dikendalikan.

Apakah aset yang dicuri benar-benar tidak bisa dikembalikan?

Peluangnya sangat kecil, tapi bukan nol mutlak. Ada sedikit harapan dalam dua situasi: saat aset mengalir ke CEX dalam jendela waktu singkat (segera ajukan bukti untuk pembekuan), dan pada kasus yang melibatkan aparat penegak hukum serta tim analisis on-chain. Dalam sebagian besar kasus, aset akan cepat dipecah, dipindahkan lintas rantai, dan masuk ke layanan pencampur, sehingga harapan pemulihan sangat tipis—karena itu nilai pencegahan jauh lebih tinggi daripada penanganan setelah kejadian.

Peringatan risiko dan pengungkapan promosi: Transaksi on-chain tidak dapat dibatalkan, operasi izin dan tanda tangan memiliki risiko kehilangan aset, dan isi artikel ini bukan saran investasi. Artikel ini memuat tautan promosi, melalui pendaftaran lewat tautan tersebut kami mungkin mendapat komisi, tanpa menambah biaya yang kamu bayar, dan tidak memengaruhi penilaian dalam artikel ini. Alat dan mekanisme yang dibahas dalam artikel ini berlaku hingga Oktober 2026, mohon mengacu pada penjelasan di masing-masing saluran resmi.