Bahaya Connect Wallet ke dApp yang Tidak Dikenal

Connect wallet ke sebuah dApp memang hanya membagikan alamat publik Anda — tapi begitu Anda melakukannya, dApp itu bisa langsung memunculkan permintaan approve atau signature yang, kalau Anda tandatangani tanpa membaca, bisa memberi akses penuh ke token bernilai di dompet Anda dalam hitungan detik.

Risiko sebenarnya bukan pada tindakan “connect” itu sendiri, melainkan pada apa yang terjadi setelahnya — dan situs yang tidak dikenal sering dirancang supaya langkah berikutnya itu terasa wajar.

Bagaimana Risikonya Bekerja

Saat Anda connect wallet ke sebuah situs, wallet Anda memberi tahu situs itu alamat publik Anda sehingga situs bisa menampilkan saldo dan menyusun transaksi yang relevan. Sejauh ini aman — alamat publik memang bisa dilihat siapa saja di blockchain explorer.

Masalah muncul pada langkah berikutnya. Situs yang tidak dikenal, terutama yang dirancang sebagai drainer, akan langsung memunculkan permintaan approve token atau signature off-chain begitu Anda connect — kadang dibungkus sebagai “verifikasi wallet”, “klaim reward”, atau bagian dari proses yang terlihat seperti alur normal dApp legitimate. Karena pengguna terbiasa menekan “confirm” berulang kali saat memakai DeFi, permintaan tambahan ini mudah lolos tanpa dibaca.

Begitu ditandatangani, kontrak di balik situs tersebut bisa punya izin memindahkan token Anda — baik lewat approve konvensional maupun signature Permit2 yang tidak butuh gas. Yang membuat situs tidak dikenal lebih berisiko dibanding dApp mapan adalah tidak adanya reputasi, riwayat audit, atau komunitas yang bisa memverifikasi keamanannya sebelum Anda mencobanya.

Dompet dengan banyak sesi connect aktif ke situs yang jarang dibuka lagi juga menambah luas permukaan risiko Anda secara diam-diam. Setiap sesi yang masih aktif berarti situs tersebut berpotensi mengajukan permintaan baru kapan saja tanpa Anda perlu connect ulang — sebuah celah yang sering terlupakan karena tidak ada indikator mencolok yang mengingatkan Anda tentang sesi mana saja yang masih terbuka.

Lihat mekanisme pengurasan dana lebih lengkap di kamus wallet drainer.

Kenapa “Connect Wallet” Terasa Seperti Aksi Ringan

Budaya DeFi membiasakan pengguna untuk connect wallet ke banyak situs sebagai langkah pertama yang wajar — mengecek harga token, melihat statistik protokol, atau sekadar menjajal fitur baru. Kebiasaan ini membuat tombol “Connect Wallet” terasa setara dengan membuka halaman web biasa, padahal setiap kali Anda melakukannya, Anda memberi situs tersebut kesempatan untuk mengajukan permintaan lanjutan kapan saja selama sesi masih aktif.

Situs drainer memanfaatkan asumsi ini dengan sengaja meniru pengalaman “biasa” tersebut — antarmuka bersih, animasi loading yang meyakinkan, bahkan statistik palsu yang menampilkan jumlah pengguna atau volume transaksi yang terlihat aktif. Semua ini dibuat supaya keputusan connect terasa tidak berbeda dari mengunjungi dApp yang sudah Anda percaya sebelumnya.

Perbedaan sesungguhnya baru terlihat pada detik-detik setelah connect — apakah situs meminta Anda menjelajah dulu, atau langsung mendorong Anda menandatangani sesuatu tanpa penjelasan jelas tentang untuk apa tanda tangan itu dibutuhkan.

Red Flag yang Bisa Anda Cek Hari Ini

• Situs baru Anda kunjungi langsung memunculkan permintaan approve atau signature begitu wallet ter-connect, sebelum Anda sempat menjelajah fiturnya.
• Anda tidak menemukan informasi jelas tentang tim di balik proyek, audit smart contract, atau riwayat aktivitas di media sosial resmi yang kredibel.
• Domain situs terasa asing atau baru, dan Anda sampai di sana lewat link dari DM, iklan, atau grup chat — bukan pencarian atau referensi terpercaya.
• Situs meminta approval untuk token bernilai besar padahal fitur yang ditawarkan seharusnya hanya butuh interaksi kecil.
• Anda merasa tergesa untuk connect karena ada elemen “penawaran terbatas” atau tekanan waktu.

Langkah Mitigasi

1. Riset dApp sebelum connect — cek reputasi lewat sumber independen (bukan hanya website mereka sendiri), riwayat audit, dan aktivitas komunitas yang konsisten dari waktu ke waktu.
2. Gunakan wallet terpisah bersaldo kecil untuk eksplorasi. Jangan connect dompet utama Anda ke dApp yang belum terverifikasi reputasinya.
3. Baca setiap permintaan approve atau signature sebelum konfirmasi, terutama yang muncul segera setelah connect — lihat detail cara membacanya di bahaya approval token tak terbatas dan bahaya menandatangani Permit2 tanpa dibaca.
4. Disconnect wallet setelah selesai memakai dApp, terutama untuk situs yang jarang Anda gunakan, supaya sesi aktifnya tidak menumpuk tanpa Anda sadari.
5. Curigai dApp yang datang dari link tidak terverifikasi — DM, grup chat, atau iklan berbayar yang mendorong Anda buru-buru connect.
6. Cabut approval dan sesi connect yang tidak lagi diperlukan secara berkala, sebagai bagian dari kebiasaan audit wallet rutin Anda.
7. Jangan tergiur statistik atau testimoni yang ditampilkan situs itu sendiri. Angka pengguna, volume transaksi, atau ulasan yang tampil di dalam situs bisa sepenuhnya dikendalikan pembuatnya — cari verifikasi dari sumber yang tidak bisa dimanipulasi oleh situs tersebut.
8. Pertimbangkan wallet dengan fitur simulasi transaksi, yang menunjukkan perkiraan efek dari sebuah approve atau signature sebelum Anda benar-benar konfirmasi — beberapa wallet modern seperti Rabby sudah menyediakan fitur ini.

Tidak ada cara memastikan setiap dApp yang Anda temui sepenuhnya aman sebelum mencobanya — yang bisa Anda kendalikan adalah seberapa besar eksposur yang Anda pertaruhkan saat mencoba sesuatu yang belum terverifikasi.

Kalau Sudah Terlanjur

Kalau Anda sudah connect wallet dan menandatangani permintaan yang mencurigakan di dApp tidak dikenal, dan menyadari saldo mulai berkurang, segera cabut approval yang tersisa dan pindahkan aset yang masih aman ke dompet baru — jangan buka kembali situs yang sama untuk investigasi lebih jauh sebelum aset Anda diamankan terlebih dahulu. Langkah lengkapnya ada di situasi approval scam, wallet mau drained.

⚠️ Disclaimer: Artikel ini bersifat edukatif, bukan saran keuangan atau investasi personal.