Panduan Keamanan EIP-7702: 5 Titik Buta Mematikan dari Mekanisme Baru, Terungkap Lewat Peretasan Binance Senilai $6,3 Miliar

Pada 30 Oktober, terungkap bahwa Binance kehilangan aset senilai 6,3 miliar dolar AS—gempa besar bagi seluruh dunia kripto. Analisis pasca-insiden mengungkap bahwa pelaku tidak menggunakan pencurian kunci privat konvensional, melainkan mekanisme baru Ethereum yang baru diaktifkan tahun ini: otorisasi delegasi EIP-7702. Ini bukan “kerentanan baru”, melainkan “titik buta desain” pada mekanisme itu sendiri yang bertabrakan dengan kebiasaan keamanan manusia. Baik pengguna biasa maupun pengembang bisa menjadi korban. Artikel ini memecah seluruh rantai serangan, menjelaskan EIP-7702 secara sederhana dan jelas, lalu memberikan dua daftar langkah konkret—masing-masing berisi lima poin—untuk menghindari jebakan ini.

I. Peran EIP-7702 dalam Insiden Pencurian Binance

Kita mulai dari insiden itu sendiri. Dini hari 30 Oktober, pemantau on-chain bernama Shen Yu membagikan detail mencemaskan di X: 14 alamat hot wallet Binance, setelah peningkatan Ethereum Pectra, semuanya menandatangani jenis transaksi yang “aneh”—yaitu transaksi tipe-4. Dan semua dompet ini masih memiliki otorisasi delegasi aktif ke kontrak milik pelaku.

Rantai serangan lengkapnya—yang saat ini direkonstruksi oleh komunitas—kira-kira sebagai berikut:

1. Pintu masuk peretasan: Laptop salah satu staf pengembang atau operasional internal Binance berhasil dibobol lewat phishing/malware;
2. Penyisipan transaksi berbahaya: Pelaku mendapatkan akses ke saluran tanda tangan internal, sehingga bisa menyisipkan transaksi tipe-4 ke dalam hot wallet;
3. Delegasi massal: Dalam hitungan jam, 50 hot wallet satu per satu “menandatangani”, menyerahkan hak eksekusi kode mereka ke kontrak yang dikendalikan pelaku;
4. Pembajakan kendali: Setelah delegasi aktif, pelaku bisa memanggil hot wallet tersebut seolah-olah itu adalah kontrak miliknya sendiri—sistem tanda tangan hanya melihat “ringkasan transaksi” berukuran 32 byte, padahal yang benar-benar ditandatangani adalah surat delegasi yang berarti “menyerahkan kunci mobil ke orang lain”.

Syukurlah, setelah insiden berkembang, tim on-chain Binance segera menerapkan transaksi pembatalan. Saat ini, sekitar 3 miliar dolar AS aset curian telah berhasil dikunci kembali—artinya delegasi EIP-7702 tidak bersifat tak dapat dibatalkan, asalkan Anda masih bisa menandatangani transaksi pembatalan. Untuk garis waktu lengkap insiden ini, baca laporan mendalam kami sebelumnya: $6,3 Miliar Dicuri: Hot Wallet Binance Dibajak Melalui Delegasi EIP-7702.

Perlu dicatat, Binance bukan lembaga pertama yang menjadi sasaran EIP-7702—sejak September lalu, sudah ada investor ritel kecil yang kehilangan aset akibat menandatangani transaksi tipe-4 dari DApp tak dikenal. Namun, insiden Binance membawa masalah keamanan tingkat mekanisme ini ke permukaan secara langsung.

II. Ringkasan Cepat Mekanisme Inti EIP-7702 (Pahami dalam 3 Menit)

Dalam Ethereum tradisional, hanya ada dua jenis akun: EOA (External Owned Account) dan akun kontrak. EOA ibarat kartu bank Anda—setiap tanda tangan kunci privat berarti satu transaksi keluar; sedangkan akun kontrak adalah logika kode yang dideploy di blockchain. Masalah utama yang ingin dipecahkan EIP-7702 adalah: Apakah EOA bisa sementara memperoleh kemampuan akun kontrak?

Jawabannya adalah “delegasi”—bayangkan Anda meminjamkan mobil (EOA) ke teman (kontrak tujuan). Cara meminangkannya bukan dengan mengganti plat nomor, melainkan menandatangani surat delegasi di blockchain, yang secara eksplisit menyatakan “siapa yang akan sementara menguasai kunci mobil”.

Secara teknis, EIP-7702 memperkenalkan dua perubahan krusial:

• Transaksi tipe-4: Jenis transaksi baru khusus untuk “menandatangani delegasi”. Penandatangan tidak perlu mengirim ETH apa pun ke alamat tujuan—cukup mempublikasikan surat delegasi ke blockchain.
• Delegasi berlaku permanen hingga dibatalkan secara eksplisit. Ini adalah poin paling penting—dan paling sering diabaikan: tidak ada masa kedaluwarsa otomatis, dan tidak ada skema “berlaku sekali pakai”.

Kedengarannya bagus, kan? Secara teori, Anda bisa mendelegasikan dompet Anda ke kontrak pembayar gas, atau memberi DApp izin otomatis terbatas waktu. Tapi desain “berlaku permanen” ini justru menjadi akar dari hampir semua insiden keamanan.

III. Lima Titik Buta Mematikan (Yang Sering Menjebak Pengguna Biasa)

Lima titik buta berikut adalah jebakan paling umum bagi pengguna biasa—dan masing-masing sudah terbukti nyata dalam kasus riil.

1. Delegasi tidak kedaluwarsa secara otomatis—tidak dibatalkan = kunci dompet diserahkan selamanya

Banyak DApp mengarahkan pengguna untuk “klik delegate, biaya transaksi jadi 20% lebih murah”, lalu pengguna menandatangani dan langsung lupa. Akibatnya, delegasi itu tetap aktif di blockchain—DApp bisa berganti tim, bahkan menjual alamat kontraknya, tapi kunci dompet Anda masih dipegang orang lain.

2. Antarmuka dompet tidak menampilkan siapa saja yang sudah Anda delegasikan

Inilah kelemahan paling memalukan di seluruh ekosistem saat ini. Per Oktober 2026, sebagian besar dompet utama (Trust Wallet, Exodus, bahkan beberapa antarmuka pendamping hardware wallet) belum menyediakan halaman “manajemen delegasi”. Anda mungkin sudah menandatangani 17 transaksi tipe-4, tapi di dompet Anda hanya muncul deretan “ringkasan transaksi”—tanpa tahu kunci dompet Anda sudah diberikan ke siapa.
Berita baiknya: etherscan.io akhirnya memperbarui antarmukanya—kini, saat Anda membuka halaman alamat Anda, cukup buka tab “Delegations” untuk melihat seluruh riwayat delegasi. etherscan.io adalah alat pemeriksaan mandiri paling andal saat ini.

3. Tanda tangan langsung berlaku—tidak perlu konfirmasi ulang

Saat Anda klik “konfirmasi” di DApp, dompet menampilkan pop-up “biaya gas 0,001 ETH”, lalu Anda menandatangani—dan di blockchain, yang terjadi adalah: EOA Anda menerbitkan delegasi permanen ke kontrak pelaku. Tidak ada pop-up kedua, tidak ada konfirmasi tambahan. Yang dilihat penandatangan hanyalah ringkasan transaksi 32 byte—tak bisa membedakan apakah ini transfer biasa atau transaksi tipe-4.

4. Delegasi bisa bersarang—penandatangan asli sama sekali tidak tahu

A memberi kuasa ke B, B memberi kuasa ke C, C memberi kuasa ke D—secara teori, rantai pendelegasian ini bisa bersarang tanpa batas. Tanda-tanda rantai pendelegasian semacam ini memang muncul dalam insiden Binance. Jika dompet Anda sudah diambil alih oleh kontrak jahat, kontrak tersebut bisa menyerahkan kembali kendali ke lebih banyak alamat tanpa persetujuan Anda.

5. Membatalkan pendelegasian juga memerlukan tanda tangan

Inilah bagian paling menyedihkan. Jika penyerang sudah menguasai hak pendelegasian Anda, mereka bisa membekukan aset Anda atau mengubah dompet Anda menjadi mode kontrak jahat. Ingin membatalkannya? Ya, pembatalan pendelegasian pun tetap memerlukan tanda tangan. Dan saluran tanda tangan Anda—bisa jadi sudah diambil alih oleh penyerang melalui pendelegasian bersarang.

Empat. Daftar Tindakan Nyata untuk Pengguna Biasa

Setelah membahas begitu banyak hal, apa yang harus Anda lakukan sekarang? Lakukan 5 langkah pemeriksaan berikut secara berurutan:

✅ Langkah 1: Segera periksa riwayat pendelegasian dompet Anda.
Buka etherscan.io, masukkan alamat dompet Anda, lalu beralih ke tab "Delegations". Jika Anda melihat alamat tak dikenal muncul di daftar pendelegasian, itu artinya ada bom waktu di dompet Anda.

✅ Langkah 2: Segera batalkan pendelegasian dari alamat tak dikenal.
Alat pembatalan terbaik adalah OpenZeppelin Defender atau EIP-7702 Revoker yang dijaga komunitas. Biaya gas untuk satu transaksi pembatalan on-chain biasanya berkisar $1–$5, dan prosesnya mirip transfer biasa.
⚠️ Catatan: Jika dompet Anda sudah diambil alih oleh pendelegasian jahat, pembatalan bisa gagal. Dalam kasus ini, cara paling aman saat ini adalah membuat tanda tangan transaksi pembatalan secara offline menggunakan hardware wallet (Ledger atau Trezor), lalu mengirimkannya dari komputer lain yang bersih.

✅ Langkah 3: Sementara ubah kebiasaan penggunaan dompet Anda.
Jika Anda menggunakan Trust Wallet atau Exodus, sebaiknya hindari menandatangani transaksi tipe-4 secara langsung. Kombinasi yang relatif lebih aman adalah hardware wallet Ledger + ekstensi browser Rabby—perangkat tanda tangan hardware tidak akan menjalankan pendelegasian bersarang secara otomatis, setidaknya tidak akan menandatangani “diam-diam” atas nama Anda.

✅ Langkah 4: Jangan klik tombol "Delegate" di DApp tak dikenal.
Setiap DApp yang meminta Anda menandatangani pendelegasian dengan dalih “diskon biaya gas”, “tanpa biaya transaksi”, atau “penghasilan otomatis”, hentikan dulu. Cari nama DApp tersebut di X atau Telegram bersama kata kunci “hack” atau “scam”. Menghabiskan 3 menit untuk riset latar belakang jauh lebih bernilai daripada menghemat beberapa dolar AS biaya gas.

✅ Langkah 5: Peringatan khusus untuk pengguna exchange.
Jika Anda terutama menggunakan Binance, OKX, atau CEX lainnya, mereka mengelola pendelegasian hot wallet secara terpusat. Di tingkat akun pribadi Anda, tidak diperlukan tindakan tambahan—namun disarankan agar Anda lebih memilih menggunakan aplikasi resmi exchange, dan tidak menggunakan dompet pihak ketiga untuk menandatangani transaksi tipe-4 langsung ke alamat deposit exchange.

Lima. Daftar Tindakan Nyata untuk Developer

Sebagai developer DApp atau DeFi, tanggung jawab Anda justru lebih besar. Berikut lima prinsip yang kini diakui industri sebagai “garis dasar keamanan minimum”:

1. Otorisasi pendelegasian harus memiliki batas waktu kedaluwarsa (expiry) yang wajar.
Meski belum semua dompet mendukung verifikasi expiry di lapisan tanda tangan, logika kontrak pendelegasian yang Anda deploy harus memuat pemeriksaan ini secara hard-coded. Sebuah pendelegasian yang “otomatis kedaluwarsa dalam 30 hari” dan yang “berlaku selamanya” memiliki tingkat keamanan yang sama sekali berbeda.

2. UI frontend harus menampilkan peringatan pop-up merah besar untuk transaksi tipe-4.
Praktik standar: setelah pengguna mengklik tombol Delegate, frontend menampilkan modal pop-up merah terpisah, dengan teks tebal berukuran besar yang menyatakan jelas: “⚠️ Anda akan menandatangani transaksi pendelegasian EIP-7702—ini memberikan hak eksekusi kode atas dompet Anda kepada alamat tujuan”, serta mewajibkan pengguna mengetikkan secara manual “Saya memahami risikonya” sebelum melanjutkan.

3. Jangan pernah menerima alamat target pendelegasian dari input pengguna.
Alamat kontrak tujuan pendelegasian harus di-hard-code di kode frontend Anda dan diverifikasi ulang dengan alamat yang terdeploy di blockchain. Membiarkan pengguna mengisi sendiri target sama saja menyerahkan “nomor rumah” hak pendelegasian.

4. Tingkatkan ke varian “delegateWithPermissions” dari EIP-7715.
EIP-7715 menambahkan batasan izin (permissions) di atas fondasi EIP-7702, sehingga Anda bisa menentukan fungsi mana yang boleh dan tidak boleh dipanggil oleh pihak yang didelegasikan. Secara teori, ini seharusnya menjadi standar—meski dukungan saat ini masih terbatas. Lakukan migrasi sesegera mungkin.

5. Wajib jalankan skrip audit EIP-7702 OpenZeppelin di lingkungan pengujian.
OpenZeppelin telah memasukkan audit keamanan EIP-7702 ke dalam daftar pemeriksaan Defender mereka. Setiap kali kontrak dideploy, jalankan skrip otomatis untuk memindai risiko terkait pendelegasian—biayanya nyaris nol.

Enam. Penutup

EIP-7702 bukan protokol yang “bermasalah”, karena tujuan desain intinya—memberi kemampuan kontrak pada EOA biasa—memang benar. Masalahnya terletak pada asumsi bawaan “berlaku selamanya”, yang bertabrakan dengan titik paling rentan dalam ekosistem Ethereum: kebiasaan keamanan manusia.

Insiden Binance mungkin merupakan pelajaran keamanan termahal sejak EIP-7702 mulai digunakan luas. Namun dari sisi lain, kejadian ini justru membangunkan seluruh ekosistem dari mimpi “pendelegasian tanpa sadar”. Kini etherscan sudah punya tab pendelegasian, tim dompet mulai menambahkan peringatan keamanan pop-up, dan OpenZeppelin telah memperbarui skrip audit mereka—setiap insiden nyatanya turut memperkuat mekanisme ini.

Bagi Anda pribadi, hanya dua tindakan yang benar-benar bernilai sekarang: periksa di etherscan apakah ada pendelegasian tak dikenal di dompet Anda, dan beri tahu teman-teman Anda yang pakai DeFi tentang hal ini. Itu saja—cukup.