Seorang pengguna kripto kehilangan dana senilai hampir 1 juta dolar AS pada Rabu lalu setelah tanpa sadar menandatangani persetujuan token phishing atau approval phishing di jaringan Ethereum. Insiden ini menambah daftar panjang korban penipuan approval phishing yang terus mengancam ekosistem kripto global.
Kronologi Serangan Phishing
Menurut data onchain yang pertama kali diidentifikasi oleh platform deteksi penipuan Scam Sniffer, korban kehilangan tepat 999.999 USDT dalam serangan yang terjadi dalam tiga transaksi terpisah. Pelaku awalnya mencoba menguras saldo bulat sebesar 1 juta dolar melalui teknik multicall namun gagal karena dana tidak mencukupi. Detik kemudian, skrip otomatis pelaku menghitung ulang dan menarik seluruh sisa saldo korban secara presisi.
Skrip menghitung ulang dan menarik persis seluruh sisa saldo yang tersisa, ungkap Scam Sniffer dalam laporannya di platform X.
Cara Kerja Approval Phishing
Approval phishing merupakan salah satu vektor serangan paling merusak di dunia kripto. Modusnya sederhana namun mematikan: korban diyakinkan untuk menandatangani transaksi yang tampak tidak berbahaya, namun di baliknya tersembunyi izin akses tanpa batas bagi pelaku untuk menguras seluruh isi dompet kripto korban. Korban hanya berpikir bahwa mengklik tombol approve hanya akan menjalankan tugas kecil, padahal tautan berbahaya tersebut memberikan akses penuh kepada penyerang.
Skala Kerugian Global
Data terbaru dari firma keamanan blockchain Chainalysis mengungkap bahwa penipuan onchain berhasil meraup lebih dari 14 miliar dolar sepanjang tahun 2025, dengan investment scams sebagai kategori dominan dan approval phishing menjadi metode utama eksekusinya di jaringan blockchain. Sementara itu, perusahaan keamanan CertiK mencatat kerugian akibat phishing mencapai 723 juta dolar dari 248 insiden sepanjang 2025.
Pada paruh pertama tahun 2026, kerugian dari phishing sudah mencapai 366 juta dolar, menunjukkan bahwa ancaman ini belum menunjukkan tanda-tanda mereda.
Pola Berulang Para Pelaku
Yang semakin mengkhawatirkan, para pelaku kerap menggunakan kembali dompet yang sama, fitur approval sah dari kontrak, dan rute pencairan yang identik di berbagai korban. Menurut Renato Bastos, penyelidik senior di Chainalysis, setiap laporan korban justru membantu membongkar jaringan penipuan yang lebih luas.
Insiden ini terjadi hanya beberapa hari setelah kasus serupa di awal Juli, di mana seorang pemilik dompet kripto melaporkan kehilangan 1,65 juta dolar setelah menghubungkan dompetnya ke bursa palsu dan menandatangani kontrak berbahaya. Peneliti keamanan Ryan Coleman menjelaskan bahwa persetujuan tersebut memberikan akses tak terbatas kepada penyerang, memungkinkan automated sweeper untuk langsung menguras dana begitu kontrak ditandatangani.
Ancaman Lain: Address Poisoning
Selain approval phishing, address poisoning juga tetap menjadi ancaman serius. Dalam teknik ini, pelaku membuat alamat dompet yang sangat mirip dengan target dan mengirimkan sejumlah kecil dana dust agar korban keliru mengirim ke alamat palsu. Dompet Ethereum populer MetaMask baru-baru ini meluncurkan fitur deteksi address poisoning langsung pada Juni lalu sebagai langkah mitigasi.
Langkah Perlindungan
Scam Sniffer menyarankan pengguna kripto untuk selalu memeriksa ulang setiap permintaan tanda tangan sebelum menyetujui, menghindari transaksi yang terburu-buru, dan menggunakan ekstensi pendeteksi penipuan sebagai lapisan perlindungan tambahan.
Insiden terbaru ini menjadi pengingat keras bagi seluruh pengguna kripto: keamanan dompet sepenuhnya berada di tangan pemiliknya. Satu klik yang salah dapat menghancurkan seluruh portofolio dalam hitungan detik.
