Menggunakan DEX, mengikuti airdrop, melakukan staking, atau mencoba protokol DeFi berarti wallet kripto dapat berinteraksi dengan berbagai kontrak pintar atau smart contract.
Masalahnya, kontrak yang pernah digunakan berbulan-bulan lalu mungkin sudah terlupakan, sementara izin tertentu yang diberikan kepadanya masih aktif. Risikonya menjadi lebih besar apabila pengguna pernah masuk ke situs phishing atau tanpa sadar memberikan token approval kepada smart contract berbahaya.
Menurut MetaMask, token approval merupakan izin yang memungkinkan aplikasi terdesentralisasi (dApp) atau smart contract mengakses dan memindahkan jenis token tertentu dari wallet pengguna.
Kabar baiknya, pengguna tidak harus menebak-nebak. Riwayat wallet kripto dapat ditelusuri melalui blockchain explorer, sementara approval yang masih aktif juga dapat diperiksa secara terpisah.
Telusuri Riwayat Wallet Kripto Lewat Blockchain Explorer
Langkah pertama adalah memeriksa aktivitas on-chain dari alamat wallet. Untuk Ethereum, salah satu cara termudah adalah menggunakan Etherscan. Pengguna cukup menyalin public address wallet ke kolom pencarian tanpa perlu memasukkan seed phrase atau private key.
MetaMask menjelaskan bahwa Etherscan dapat digunakan untuk menelusuri transaksi, alamat, token, dan aktivitas lain di blockchain Ethereum. Prinsip serupa juga berlaku pada blockchain explorer jaringan EVM lainnya.
Setelah halaman alamat terbuka, perhatikan riwayat transaksi dan alamat pada bagian To atau kontrak yang pernah berinteraksi dengan wallet. Pengguna dapat membuka transaksi lama, melihat method yang dijalankan, kemudian mengklik contract address yang terlibat.
Langkah ini berguna terutama jika wallet kripto sebelumnya sering digunakan untuk mencoba dApp baru, mint NFT, mengikuti airdrop, atau melakukan swap melalui platform yang kini sudah tidak digunakan.
Namun, menemukan contract address yang tidak dikenal belum otomatis berarti kontrak tersebut berbahaya. MetaMask menekankan bahwa tidak ada satu indikator sederhana yang dapat menjamin sebuah smart contract aman.
Pengguna dapat melihat beberapa petunjuk seperti identitas kontrak, source code yang terverifikasi, serta informasi dan reputasi address tersebut. Status verified sendiri sebaiknya tidak dianggap sebagai jaminan keamanan.
Cek Apakah Contract Address Pernah Dilaporkan
Jika menemukan alamat mencurigakan, langkah berikutnya adalah melakukan pemeriksaan silang. Salah satu layanan yang dapat digunakan adalah Chainabuse.
Pengguna dapat memasukkan address atau situs yang ingin diperiksa melalui fitur pencarian Chainabuse. Dokumentasi Chainabuse menjelaskan bahwa sistemnya dapat menyaring alamat dan URL untuk mengetahui apakah keduanya pernah dilaporkan memiliki kaitan dengan aktivitas berbahaya.
Apabila sebuah contract address memiliki laporan terkait phishing, scam, atau aktivitas jahat lainnya, informasi tersebut menjadi sinyal tambahan agar pengguna tidak kembali berinteraksi dengannya.
Sebaliknya, tidak ditemukannya laporan bukan berarti kontrak otomatis aman. Basis data semacam ini bergantung pada alamat dan insiden yang sudah berhasil diidentifikasi atau dilaporkan. Karena itu, pemeriksaan reputasi sebaiknya dikombinasikan dengan riwayat transaksi dan token approval.
Jangan Cuma Cek Transaksi, Periksa Approval yang Masih Aktif
Bagian terpenting dalam audit wallet kripto justru bukan sekadar mengetahui kontrak apa yang pernah digunakan, melainkan mencari tahu kontrak mana yang masih mempunyai izin mengakses token.
Untuk melakukannya, pengguna dapat membuka Token Approval Checker di Etherscan. Etherscan menyediakan fitur tersebut untuk meninjau dan mencabut token allowance yang sebelumnya diberikan kepada dApp atau smart contract.
Alternatifnya adalah Revoke.cash, yang memungkinkan pengguna memasukkan wallet address dan melihat approval pada Ethereum serta berbagai jaringan lain. Daftar tersebut dapat memperlihatkan token, spender, jumlah allowance dan informasi terkait approval.
Istilah spender penting diperhatikan. Spender merupakan address yang mendapatkan izin untuk menggunakan token berdasarkan approval yang diberikan pengguna.
Apabila ditemukan spender yang tidak dikenal, cocokkan contract address tersebut dengan riwayat transaksi dan hasil pemeriksaan reputasi sebelumnya. Jika approval memang tidak dibutuhkan atau diketahui berasal dari kontrak berbahaya, pengguna dapat mencabutnya melalui fungsi Revoke.
Pencabutan approval membutuhkan transaksi on-chain sehingga pengguna perlu membayar gas fee. Untuk pemeriksaan di Etherscan, pengguna juga dapat memilih approval ERC-20, ERC-721, maupun ERC-1155.
Wallet Sudah Disconnect Belum Tentu Approval Hilang
Ada kesalahpahaman yang perlu dihindari. Memutus koneksi wallet kripto dari sebuah dApp tidak sama dengan mencabut token approval yang sudah diberikan.
MetaMask menegaskan bahwa disconnect wallet dari dApp tidak memengaruhi token approval. Artinya, pengguna mungkin sudah tidak melihat situs tersebut sebagai aplikasi yang terhubung, tetapi izin on-chain yang sebelumnya diberikan masih dapat tersimpan.
Itulah sebabnya pengguna yang pernah berinteraksi dengan dApp mencurigakan sebaiknya tidak berhenti pada tombol Disconnect. Approval perlu diperiksa secara terpisah dan dicabut apabila sudah tidak dibutuhkan.
Perhatian lebih besar juga perlu diberikan pada unlimited approval. MetaMask menjelaskan bahwa spending cap menentukan seberapa banyak token yang dapat diakses dApp, dan nilainya dapat jauh melampaui saldo token yang sedang dimiliki pengguna. Pengguna MetaMask dapat mengatur custom spending cap untuk membatasi akses tersebut.
Unlimited approval tidak otomatis menunjukkan penipuan karena layanan sah juga dapat menggunakannya. Namun, semakin besar izin yang diberikan, semakin besar pula potensi eksposur apabila spender ternyata berbahaya atau kemudian mengalami eksploitasi.
Revoke Tidak Selalu Menyelesaikan Semua Masalah Wallet Kripto
Mencabut approval dapat menghentikan smart contract menggunakan permission tersebut pada masa mendatang, tetapi langkah ini tidak menyelesaikan setiap jenis kompromi keamanan.
Jika yang bocor adalah seed phrase atau private key, penyerang memiliki akses yang jauh lebih luas terhadap wallet kripto. Kasus semacam itu berbeda dengan malicious token approval dan tidak dapat diselesaikan hanya dengan menekan tombol Revoke.
Karena itu, audit wallet sebaiknya dilakukan dengan urutan yang jelas, yakni telusuri transaksi lama melalui blockchain explorer, identifikasi contract address yang tidak dikenal, periksa reputasinya, kemudian audit seluruh token approval yang masih aktif.
Dengan cara tersebut, pengguna tidak sekadar mengetahui situs apa yang pernah terhubung ke wallet, tetapi juga dapat menemukan izin on-chain lama yang masih memiliki akses terhadap aset mereka.
Untuk wallet yang aktif digunakan di DeFi, DEX, NFT dan airdrop, pemeriksaan berkala terhadap approval dapat menjadi bagian penting dari keamanan wallet kripto. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.