Bahaya Menandatangani Permit2 Tanpa Membacanya

Signature Permit2 tidak memakan gas dan tidak muncul di riwayat transaksi blockchain sampai benar-benar dipakai — sehingga kalau Anda menandatanganinya tanpa membaca di situs phishing, penyerang bisa menguras token Anda kapan saja setelahnya, tanpa Anda pernah menyadari sudah memberi izin apa pun.

Ini yang membuat serangan lewat Permit2 makin sering dipakai: terlihat seperti langkah teknis ringan, padahal secara fungsi setara dengan approval token biasa.

Bagaimana Permit2 Bekerja dan Kenapa Bisa Disalahgunakan

Permit2 adalah standar yang memungkinkan pemberian izin akses token lewat tanda tangan off-chain (signature), bukan transaksi on-chain biasa seperti fungsi approve konvensional. Keunggulannya untuk dApp legitimate adalah efisiensi — pengguna tidak perlu membayar gas hanya untuk memberi izin, dan bisa mengatur izin dengan batas waktu tertentu.

Masalahnya, karena prosesnya berupa tanda tangan pesan (bukan transaksi yang meminta konfirmasi gas dan terlihat jelas nilainya), banyak wallet menampilkan permintaan ini dengan tampilan yang kurang mencolok dibanding transaksi biasa. Pengguna yang terbiasa “klik tanda tangan” tanpa membaca detail, mudah menandatangani permintaan yang sebenarnya memberi kontrak pihak ketiga hak memindahkan token dalam jumlah besar — sering kali dari situs phishing yang meniru tampilan dApp asli.

Karena signature ini tidak butuh gas untuk dibuat, penyerang bisa mengumpulkan banyak signature dari korban dalam waktu singkat, lalu mengeksekusi penarikan token kapan saja mereka mau, tanpa korban menerima notifikasi apa pun sampai saldo sudah berkurang. Bandingkan dengan approval on-chain yang setidaknya mencatat transaksi izin di blockchain dan bisa dilihat lewat block explorer — signature Permit2 yang belum pernah dieksekusi tidak selalu mudah dilacak dengan cara yang sama, sehingga korban sering baru menyadari ada izin yang diberikan setelah dana benar-benar berpindah.

Lihat detail teknisnya di kamus Permit2 signature dan pola penyalahgunaan serupa di kamus approval scam.

Kenapa Permit2 Makin Sering Ditemui Pengguna DeFi

Permit2 awalnya dibuat untuk menyederhanakan pengalaman pengguna di ekosistem DeFi berbasis Ethereum — daripada setiap protokol harus meminta approve ERC-20 konvensional yang memakan gas, Permit2 memungkinkan satu izin terpusat yang bisa dipakai berbagai protokol lewat signature yang lebih murah. Semakin banyak dApp populer mengadopsi standar ini, semakin sering pengguna dihadapkan pada popup signature dalam aktivitas sehari-hari mereka di DeFi.

Adopsi yang meluas ini punya sisi lain: pengguna jadi terbiasa melihat popup signature sebagai bagian rutin dari interaksi DeFi, bukan lagi sebagai momen yang butuh perhatian ekstra. Kebiasaan ini yang dimanfaatkan situs phishing — mereka tahu korban sudah terbiasa menandatangani signature Permit2 tanpa banyak pertimbangan di dApp yang mereka percaya, sehingga permintaan serupa di situs palsu pun ditandatangani dengan refleks yang sama.

Masalah tambahan: karena Permit2 bekerja lintas protokol (satu izin bisa dipakai banyak dApp yang terintegrasi dengan standar yang sama), sekali izin luas diberikan ke alamat yang salah, potensi kerugiannya tidak terbatas pada satu dApp saja.

Red Flag yang Bisa Anda Cek Hari Ini

• Popup wallet meminta Anda menandatangani sesuatu, tapi tidak menampilkan angka gas — ini normal untuk signature Permit2, tapi justru harus membuat Anda lebih waspada membaca isinya, bukan lebih santai.
• Jendela signature menampilkan nama kontrak (spender) yang tidak Anda kenal atau tidak sesuai dengan situs yang sedang Anda kunjungi.
• Anda diminta menandatangani sesuatu di situs yang baru saja Anda buka lewat link dari media sosial atau DM, bukan situs yang biasa Anda pakai.
• Jumlah token yang tercantum di detail signature jauh lebih besar dari nilai transaksi yang sedang Anda lakukan.
• Situs meminta Anda menandatangani sebelum menjelaskan aksi apa yang sebenarnya sedang Anda lakukan di sana.

Langkah Mitigasi

1. Baca detail signature sebelum menandatangani, bukan hanya melihat tombol konfirmasi. Sebagian besar wallet modern menampilkan alamat spender dan jumlah token — luangkan waktu memeriksanya.
2. Verifikasi domain situs yang meminta signature. Pastikan URL sesuai dengan dApp resmi yang Anda maksud, bukan situs kloningan dengan domain mirip.
3. Curigai permintaan signature di situs yang baru Anda kunjungi, terutama kalau datang dari link di media sosial, DM, atau iklan — lihat pola lengkapnya di bahaya connect wallet ke dApp tidak dikenal.
4. Batasi izin Permit2 sesuai kebutuhan kalau dApp memberi opsi mengatur jumlah dan durasi, alih-alih menerima default yang luas.
5. Audit dan cabut izin Permit2 yang tidak lagi diperlukan secara berkala, sama seperti approval token biasa — lihat pendekatan lebih luasnya di bahaya approval token tak terbatas.
6. Gunakan dompet terpisah dengan saldo terbatas untuk mencoba dApp atau situs yang belum sepenuhnya Anda percayai, supaya eksposur maksimalnya terbatas dari awal.
7. Jangan biarkan kebiasaan “klik tanda tangan” dari dApp tepercaya terbawa ke situs baru. Perlakukan setiap situs yang belum sepenuhnya Anda verifikasi sebagai kasus baru yang butuh perhatian penuh, terlepas seberapa mirip alurnya dengan dApp yang biasa Anda pakai.
8. Cek riwayat izin Permit2 lewat block explorer atau tool audit approval secara berkala, karena izin ini bisa berlaku lintas protokol dan lebih mudah terlupakan dibanding approval on-chain konvensional.

Tidak ada mekanisme yang bisa memastikan setiap signature yang Anda tandatangani sepenuhnya aman — kebiasaan membaca detail sebelum konfirmasi adalah lapisan pertahanan yang paling realistis Anda miliki.

Kalau Sudah Terlanjur

Kalau Anda baru sadar sudah menandatangani permintaan Permit2 yang mencurigakan dan khawatir dana Anda bisa ditarik kapan saja, segera cabut izin tersebut sebelum penyerang mengeksekusinya, dan pindahkan aset penting ke dompet baru sebagai langkah pencegahan — jangan menunggu sampai saldo benar-benar berkurang untuk bertindak, karena begitu izin dieksekusi, transaksinya bersifat final. Baca langkah lengkapnya di situasi approval scam, wallet mau drained.

⚠️ Disclaimer: Artikel ini bersifat edukatif, bukan saran keuangan atau investasi personal.