Security Checklist Sebelum Masuk DeFi: 20 Hal yang Harus Diverifikasi

Keamanan di DeFi adalah tanggung jawab penuh pengguna. Tidak ada bank yang menanggung, tidak ada customer support yang bisa recover aset. Checklist ini membantu Anda masuk DeFi dengan cara yang aman.

Bagian 1: Setup Wallet yang Aman

1.1 Seed Phrase Backup

• Seed phrase ditulis di kertas (bukan digital)
• Disimpan di lokasi aman dari api dan air
• Ada minimal 2 backup di lokasi berbeda
• Tidak pernah di-foto atau di-screenshot
• Tidak pernah diketik di device yang terhubung internet

Mengapa penting: Kehilangan seed phrase = kehilangan aset selamanya. Ini adalah single point of failure terbesar.

1.2 Wallet yang Digunakan

• Download wallet dari sumber resmi (website langsung, bukan link di Google atau media sosial)
• Verifikasi bahwa wallet extension yang diinstall memiliki ribuan/jutaan pengguna (cek di Chrome/Firefox extension store)
• Gunakan wallet yang sudah established dan widely-used (MetaMask, Rabby, Phantom)
• Tidak install wallet app/extension dari link yang dikirim orang lain

Mengapa penting: Ada banyak fake wallet di extension store dan di link yang dikirim via DM. Fake wallet bisa langsung drain seluruh aset Anda.

1.3 Pemisahan Wallet

• Punya wallet terpisah untuk DeFi (untuk aset yang aktif digunakan)
• Punya wallet terpisah untuk “savings” (hardware wallet, aset yang tidak sering digunakan)
• Tidak gunakan satu wallet untuk semua

Mengapa penting: Jika wallet DeFi Anda dikompromikan (approve ke malicious contract), aset di savings wallet tidak terpengaruh.

1.4 Device Security

• Tidak login wallet di device orang lain
• Antivirus/antimalware aktif
• OS dan browser selalu update
• Tidak menggunakan WiFi publik tanpa VPN saat approve transaksi penting

Bagian 2: Due Diligence Protokol

Sebelum deposit ke protokol DeFi baru:

2.1 Audit Smart Contract

• Cari laporan audit di website resmi protokol
• Verifikasi auditor yang digunakan adalah yang terpercaya:
  • Trail of Bits (sangat respected)
  • OpenZeppelin (respected)
  • Halborn (respected)
  • Certik (popular tapi banyak yang merasa less rigorous)
  • Spearbit, Sigma Prime (respected)
• Cek apakah semua temuan kritis dari audit sudah di-resolve
• Cek berapa audit yang sudah dilakukan (lebih banyak = lebih baik)

Red flag: Tidak ada audit sama sekali, atau audit dari auditor tidak dikenal.

2.2 Track Record dan Age

• Protokol sudah beroperasi berapa lama?
• Apakah sudah survive bear market?
• Apakah ada history exploit atau incident?
• Untuk protokol baru (<6 bulan): Pertimbangkan tunggu atau gunakan jumlah sangat kecil

Aturan praktis: Protokol yang sudah >1 tahun tanpa exploit major lebih dipercaya dari yang baru launch.

2.3 Tim dan Transparansi

• Siapa tim di balik protokol? Apakah publik atau anonim?
• Jika anonim, apakah ada credibility lain (GitHub history, audit yang bagus, VC backing)?
• Apakah ada komunikasi aktif dari tim?
• Cek GitHub — apakah ada commit aktif? (Protokol yang tidak diupdate = potential dead project)

2.4 TVL dan Organic Growth

• Cek TVL di DefiLlama.com
• Apakah TVL growing organically atau turun terus?
• Hati-hati dengan TVL yang tiba-tiba naik ekstrem (mungkin dari incentive yang tidak sustainable)

2.5 Bug Bounty Program

• Apakah ada bug bounty program yang aktif?
• Berapa maksimum payout? ($1 juta+ menunjukkan protokol serius dengan keamanan)
• Lihat di Immunefi.com untuk daftar bug bounty crypto

2.6 Governance dan Centralization

• Siapa yang kontrol upgrade contract? (Multisig yang baik vs single admin yang berbahaya)
• Berapa timelock sebelum upgrade bisa dieksekusi? (48-72 jam minimal untuk non-emergency)
• Apakah ada emergency pause mechanism yang transparan?

2.7 Sumber Informasi Verifikasi

Gunakan tools ini untuk research:

• DeFiLlama.com: TVL, revenue, aset yang didukung
• Rekt.news: History hack dan exploit semua protokol
• DeFiSafety.com: Security score berdasarkan metodologi terstandar
• Etherscan/Arbiscan: Verifikasi contract address langsung dari blockchain

Bagian 3: Sebelum Setiap Transaksi

3.1 Verifikasi Website

Sebelum connect wallet ke protokol DeFi:

• Pastikan URL website benar (bookmark website resmi, jangan rely pada Google search)
• Cek apakah ada HTTPS (lock icon di browser)
• Jika ada redirect aneh → close dan verifikasi ulang
• Jangan klik link dari Twitter/Discord/Telegram yang tidak terverifikasi

Red flag yang sering terjadi:

• URL yang mirip tapi beda satu huruf: “uniswxp.io” vs “uniswap.org”
• Hasil Google Ads yang ke website phishing
• Link di DM Discord atau Telegram

3.2 Review Setiap Transaksi

Sebelum klik “Confirm” di MetaMask:

• Periksa address yang dituju (bukan ke unknown address)
• Baca pesan yang ada di transaksi
• Jika ada “Token Approval” — cek apakah ini unlimited approval atau terbatas
• Gunakan Rabby (wallet dengan fitur preview transaksi) untuk melihat apa yang akan terjadi sebelum konfirmasi

Red flag:

• Transaksi dengan nilai ETH yang besar tapi Anda tidak ekspek
• Approval untuk unlimited amount ke contract yang tidak dikenal
• Gas fee yang jauh lebih tinggi dari biasanya (bisa exploit mempool)

3.3 Approval Management

• Setelah selesai interact dengan protokol, revoke approval yang tidak diperlukan
• Gunakan revoke.cash untuk check dan revoke semua approval
• Review approval secara reguler (sebulan sekali)

Mengapa penting: Approval yang tidak di-revoke adalah potensi vektor serangan. Jika protokol yang Anda approve kemudian di-exploit, contract mereka bisa drain token dari wallet Anda.

Bagian 4: Ongoing Monitoring

4.1 Monitor Protokol yang Digunakan

• Follow akun resmi protokol di Twitter/X
• Join Discord/Telegram resmi untuk update
• Set Google Alert untuk nama protokol + “hack” atau “exploit”
• Monitor TVL di DefiLlama — penurunan TVL tiba-tiba bisa tanda masalah

4.2 Monitor DeFi Position

• Jika punya pinjaman: Monitor Health Factor secara reguler
• Set alert jika HF turun ke level warning
• Gunakan DeBank atau Zapper untuk overview semua posisi di satu tempat

4.3 Rencana Darurat

• Tahu cara withdraw cepat dari setiap protokol yang digunakan
• Punya cukup ETH/SOL di wallet untuk gas fee jika perlu emergency exit
• Punya stablecoin cadangan siap untuk top-up collateral jika diperlukan

Checklist Cepat: 5 Menit Sebelum Deposit Baru

Untuk protokol yang tidak pernah Anda gunakan sebelumnya:

1. ✓ Search “[nama protokol] hack” atau “[nama protokol] exploit” — ada berita negatif?
2. ✓ Cek DefiLlama.com — TVL ada dan stabil/growing?
3. ✓ Cek website protokol — ada link ke audit? Dari auditor terpercaya?
4. ✓ Cek DeFiSafety.com — ada security score?
5. ✓ Protokol berumur berapa lama? (lebih dari 1 tahun = lebih aman)

Jika tidak bisa jawab positif untuk semua 5 ini: Tunda dulu atau gunakan jumlah sangat kecil sebagai “test.”

Untuk Protokol yang Sudah Established (Aave, Uniswap, Curve)

Untuk protokol blue-chip yang sudah beroperasi bertahun-tahun tanpa exploit major:

• Checklist di atas tidak perlu setiap kali — mereka sudah proven
• Tapi tetap verifikasi website (phishing masih risiko)
• Tetap review setiap transaksi sebelum konfirmasi
• Tetap revoke approval yang tidak diperlukan

Kesimpulan

Security di DeFi adalah proses, bukan satu kali setup. Empat area utama:

1. Wallet security: Seed phrase backup, pemisahan wallet
2. Protocol due diligence: Audit, track record, tim, TVL
3. Per-transaction safety: Verifikasi URL, review setiap transaksi
4. Ongoing monitoring: Monitor protokol dan posisi, revoke approval

Tidak ada DeFi yang zero-risk. Tapi dengan menjalankan checklist ini, Anda secara signifikan mengurangi kemungkinan menjadi korban.

---

💡 Mau praktik langsung, bukan hanya teori? Di kelas WhaleX, Anda belajar hands-on — setup wallet, yield strategy, dan navigasi protokol DeFi nyata. Coba kelas Web3 gratis →

⚠️ Disclaimer: Checklist ini tidak menjamin keamanan penuh. Smart contract bisa punya bug yang belum ditemukan. Phishing terus berkembang. Selalu update pengetahuan Anda dan start dengan jumlah kecil di protokol yang belum pernah digunakan.