Poin Penting
Sifat DeFi yang terbuka dan tanpa izin (permissionless) membuatnya menarik bagi para penipu. Mengetahui tanda peringatan yang harus dicari dapat membantu Anda membuat keputusan yang lebih terinformasi.
Memeriksa tujuan proyek, aktivitas pengembangan, dan riwayat audit smart contract adalah beberapa langkah awal saat mengevaluasi protokol DeFi apa pun.
Tim anonim, kepemilikan token yang terkonsentrasi, dan tidak adanya audit adalah tanda bahaya yang umum. Tidak satu pun dari faktor-faktor ini yang menjamin penipuan, tetapi semuanya meningkatkan risiko.
Rug pulls, permintaan approval token palsu, dan serangan phishing termasuk di antara cara paling umum penipu mencuri dana di DeFi.
Lakukan riset Anda sendiri (DYOR) sebelum menyetor dana ke protokol DeFi apa pun. Tidak ada otoritas pusat untuk memulihkan dana yang hilang.
Pendahuluan
DeFi telah menghadirkan cara-cara baru yang benar-benar inovatif untuk meminjam, meminjamkan, berdagang, dan menghasilkan keuntungan tanpa bergantung pada perantara tradisional. Namun, keterbukaan yang membuatnya inovatif juga menjadikannya target bagi pihak yang berniat jahat. Siapa pun dapat meluncurkan sebuah proyek, dan tidak ada gerbang pengaman (gatekeeper) untuk menghentikan aktivitas penipuan sebelum menjangkau pengguna.
Panduan ini membahas sinyal utama yang bisa Anda periksa saat mengevaluasi proyek DeFi. Tidak ada satu pun pemeriksaan ini yang benar-benar sempurna jika dilakukan sendiri. Namun, jika digunakan bersama, pendekatan ini dapat membantu Anda menghindari jebakan yang paling jelas.
Apa Tujuan Proyeknya?
Pertanyaan dasar namun penting: proyek ini sebenarnya melakukan apa? Banyak proyek DeFi baru adalah salinan dari protokol yang sudah ada tanpa peningkatan yang berarti. Mereka diluncurkan pada periode aktivitas pasar yang tinggi untuk menarik perhatian, mengumpulkan dana, lalu menghilang.
Tanyakan apakah proyek ini menyelesaikan masalah nyata. Apakah mereka menjelaskan dengan jelas cara kerjanya? Apakah ada whitepaper, dokumentasi, atau roadmap publik? Proyek yang tidak bisa mengartikulasikan nilai mereka dengan jelas patut diwaspadai.
Pertimbangkan juga apakah proyek sedang membangun sesuatu yang baru atau hanya menambahkan token ke ide yang sudah ada. Inovasi yang benar-benar baru bukan jaminan legitimasi, tetapi ketiadaannya bisa menjadi tanda peringatan (yellow flag).
Aktivitas Pengembangan dan Transparansi
Proyek DeFi yang sah umumnya bersifat open-source. Artinya, Anda bisa membaca kodenya, atau setidaknya memverifikasi bahwa kode tersebut ada dan sedang diperbarui. Aktivitas pengembang di platform seperti GitHub terlihat secara publik dan dapat memberi Anda gambaran kasar apakah sebuah tim sedang bekerja atau tidak.
Commit yang aktif, dokumentasi yang jelas, dan riwayat perbaikan bug menunjukkan tim yang terlibat. Repositori yang hanya dibuat sekali dan tidak pernah diperbarui mungkin menandakan operasi jangka pendek. Meski metrik ini bisa dimanipulasi, tetap layak diperiksa sebagai bagian dari uji tuntas yang lebih luas.
Audit Smart Contract
Protokol DeFi berjalan di smart contract, yaitu program yang berjalan sendiri (self-executing) di blockchain. Jika kode mengandung kerentanan, penyerang dapat mengeksploitasinya untuk menguras dana. Audit smart contract adalah peninjauan kode oleh perusahaan keamanan independen untuk mengidentifikasi kelemahan semacam itu.
Tidak semua proyek memiliki audit. Audit bisa mahal, dan beberapa proyek penipuan melewatkannya sepenuhnya. Jika sebuah proyek telah diaudit, periksa firma mana yang melakukannya, kapan audit tersebut dilakukan, dan apakah temuan-temuannya ditangani. Audit yang dilakukan oleh entitas yang tidak dikenal beberapa bulan sebelum peluncuran bobotnya lebih kecil dibanding audit terbaru dari firma yang diakui.
Yang penting, audit yang terlihat bersih (clean) tidak berarti protokol bebas risiko. Kerentanan baru dapat muncul setelah audit selesai, dan beberapa eksploit menargetkan logika, bukan kesalahan pada kode.
Anonimitas dan Akuntabilitas Tim
Kripto memiliki sejarah panjang para pembangun yang menggunakan nama samaran (pseudonymous). Satoshi Nakamoto, pencipta Bitcoin, tidak pernah berhasil diidentifikasi. Tim anonim tidak otomatis mencurigakan, dan ada proyek-proyek sah dengan pendiri yang menggunakan nama samaran.
Namun, saat sebuah tim anonim, akan lebih sulit untuk meminta pertanggungjawaban mereka jika terjadi sesuatu. Pendiri yang memiliki reputasi di dunia nyata memiliki lebih banyak yang dipertaruhkan jika menjalankan skema penipuan. Jika timnya anonim, carilah sinyal legitimasi lainnya: rekam jejak proyek sebelumnya, keterlibatan komunitas, dan audit pihak ketiga.
Distribusi Token dan Tokenomics
Meninjau tokenomics sebuah proyek berarti memahami bagaimana token dibuat, dialokasikan, dan didistribusikan. Salah satu mekanisme penipuan yang umum melibatkan pihak internal proyek yang memegang porsi besar dari total pasokan, lalu menjualnya saat harga token naik, sehingga membuat pasar untuk semua orang lainnya anjlok.
Cari informasi publik tentang rincian alokasi token. Berapa banyak yang dipegang tim? Apakah ada jadwal vesting atau periode lock-up yang mencegah penjualan langsung? Apakah token didistribusikan melalui proses publik yang adil atau melalui pre-sale eksklusif?
Pasokan yang sangat terkonsentrasi tidak otomatis menjamin penipuan, tetapi itu menciptakan kondisi di mana kelompok kecil dapat secara signifikan memengaruhi harga. Jika informasi alokasi sulit ditemukan atau sengaja dibuat tidak jelas, anggap itu sebagai tanda peringatan.
Tanda-Tanda Exit Scam
Rug pull terjadi ketika pengembang proyek tiba-tiba menarik dana atau menghapus likuiditas, sehingga pemegang token tidak bisa menjual. Ini adalah salah satu jenis penipuan yang paling umum di DeFi.
Banyak token baru diluncurkan di automated market makers (AMM) menggunakan liquidity pool. Jika tim menyediakan sebagian besar likuiditas untuk token mereka sendiri, mereka dapat menghapusnya kapan saja—yang pada akhirnya secara efektif menghancurkan pasar. Platform yang memverifikasi liquidity lock-up, yaitu likuiditas tidak bisa ditarik untuk periode tertentu, menawarkan satu lapis perlindungan terhadap hal ini.
Dalam skema yield farming, penipu kadang meminta pengguna untuk menyetor dana ke kontrak sebelum mengurasnya. Imbal hasil yang dipublikasikan sangat tinggi, tekanan untuk bertindak cepat, dan kontrak tanpa audit adalah tanda umum dari jenis skema ini.
Phishing dan Penipuan Persetujuan (Approval)
Selain penipuan terang-terangan oleh tim proyek, pengguna individu sering menjadi sasaran serangan phishing. Ini biasanya melibatkan situs web palsu atau akun media sosial yang menyamar sebagai proyek DeFi yang sah, dengan tujuan mencuri kredensial dompet atau menipu pengguna agar menandatangani transaksi berbahaya.
Versi yang lebih terarah adalah penipuan persetujuan palsu (fake approval scam). Saat Anda berinteraksi dengan protokol DeFi, dompet Anda mungkin meminta Anda untuk menyetujui kontrak agar bisa membelanjakan token Anda. Kontrak berbahaya dapat meminta approval tanpa batas, sehingga mereka mendapat akses ke semua token dari jenis tertentu di dompet Anda. Selalu periksa permintaan approval dengan saksama dan pertimbangkan menggunakan alat yang memungkinkan Anda mencabut approval dari kontrak yang tidak lagi Anda gunakan.
Address poisoning adalah taktik lain yang mendapat perhatian signifikan sejak akhir 2022. Penyerang mengirim transaksi kecil dari alamat dompet yang mirip sekali dengan alamat yang sebelumnya pernah Anda gunakan. Jika Anda menyalin alamat terbaru dari riwayat transaksi tanpa memeriksa dengan teliti, Anda mungkin tanpa sadar mengirim dana ke penyerang. Selalu verifikasi alamat karakter per karakter sebelum mengirim.
Flash Loans dan Manipulasi Oracle
Beberapa serangan menargetkan mekanisme dasar protokol DeFi, bukan pengguna individu. Serangan flash loan melibatkan peminjaman dalam jumlah besar aset dalam satu transaksi, memakainya untuk memanipulasi harga pasar atau status protokol, lalu membayar kembali pinjaman sebelum blok ditutup. Penyerang dapat meraih keuntungan, sementara protokol atau penggunanya mengalami kerugian.
Manipulasi oracle terkait dengan hal ini. Protokol DeFi sering mengandalkan price oracle untuk menentukan nilai aset. Jika penyerang dapat memanipulasi sumber data harga, mereka mungkin bisa mengeksploitasi protokol pinjaman atau derivatif. Proyek yang menggunakan beberapa oracle independen atau time-weighted price averages umumnya lebih tahan terhadap jenis serangan ini.
Jenis serangan ini lebih relevan saat menilai apakah Anda akan menggunakan protokol tertentu, dibanding saat menilai apakah sebuah proyek adalah penipuan yang terang-terangan. Protokol yang tidak membahas vektor serangan yang diketahui dalam dokumentasinya mungkin kurang aman.
FAQ
Apa penipuan DeFi yang paling umum?
Rug pulls, exit scams, serangan phishing, permintaan approval token palsu, dan address poisoning termasuk di antara jenis yang paling umum. Beberapa penyerang juga mengeksploitasi kerentanan smart contract atau memanipulasi price oracle untuk menguras dana protokol.
Bagaimana cara memeriksa apakah proyek DeFi sudah diaudit?
Kebanyakan proyek yang sah menautkan laporan audit di situs web resmi mereka atau dokumentasi. Anda juga bisa memeriksa langsung situs web perusahaan audit besar. Jika laporan audit tidak tersedia atau tidak bisa diverifikasi, anggap itu sebagai faktor risiko.
Apakah aman menggunakan protokol DeFi dengan tim yang anonim?
Tim anonim tidak otomatis berarti penipuan. Namun, itu mengurangi akuntabilitas. Carilah sinyal kepercayaan lainnya, seperti riwayat audit, kode open-source, periode lock-up untuk token tim, dan rekam jejak aktif di komunitas. Pertimbangkan semuanya secara bersama, bukan mengandalkan satu faktor saja.
Apa yang harus saya periksa sebelum menyetujui pengeluaran token di dompet saya?
Cek alamat kontrak terhadap dokumentasi proyek resmi sebelum menyetujui. Waspadai permintaan approval tanpa batas, yang memberi kontrak izin untuk membelanjakan semua token dari jenis tertentu. Cabut approval dari kontrak yang tidak lagi Anda gunakan, karena approval yang sudah tidak aktif dapat dieksploitasi jika kontrak tersebut kemudian dibobol.
Bisakah saya memulihkan dana yang hilang akibat penipuan DeFi?
Dalam kebanyakan kasus, tidak. Transaksi blockchain tidak dapat dibatalkan. Dana yang dikirim ke kontrak penipuan atau alamat yang salah umumnya tidak bisa dipulihkan. Beberapa proyek secara sukarela mengembalikan dana yang dicuri, dan penegak hukum berhasil melacak serta menyita aset pada kasus-kasus berprofil tinggi tertentu, tetapi itu lebih merupakan pengecualian daripada norma.
Pemikiran Penutup
Penipuan DeFi memanfaatkan keterbukaan yang sama yang membuat keuangan terdesentralisasi bernilai. Karena tidak ada perantara, tidak ada otoritas yang bisa diajak banding jika terjadi masalah. Membentuk kebiasaan yang konsisten untuk memeriksa sinyal-sinyal yang dibahas dalam artikel ini—mulai dari audit dan transparansi tim hingga distribusi token dan permintaan approval—dapat mengurangi paparan Anda terhadap jenis penipuan yang paling umum.
Tidak ada satu pemeriksaan pun yang cukup sendiri, dan bahkan riset yang cermat tidak dapat menghilangkan semua risiko. Lanskap DeFi terus berkembang, dan taktik penipuan ikut berevolusi bersamanya. Tetap mendapat informasi dan mendekati proyek baru dengan sikap kritis tetap menjadi salah satu bentuk perlindungan yang paling praktis.
Bacaan Lanjutan
5 Penipuan Cryptocurrency yang Umum dan Cara Menghindarinya
Apa Itu Penipuan Airdrop dan Bagaimana Cara Menghindarinya?
Cara Menganalisis Proyek DeFi
Apa Itu Penipuan Multisig dan Bagaimana Cara Menghindarinya?
Penipuan Bitcoin yang Umum dan Cara Menghindarinya
Disclaimer: Konten ini disajikan kepada Anda dalam kondisi "apa adanya" (as is) untuk informasi umum dan tujuan edukasi saja, tanpa pernyataan atau jaminan dalam bentuk apa pun. Konten ini tidak boleh ditafsirkan sebagai nasihat keuangan, hukum, atau nasihat profesional lainnya, dan juga tidak dimaksudkan untuk merekomendasikan pembelian produk atau layanan tertentu. Anda sebaiknya mencari nasihat Anda sendiri dari penasihat profesional yang sesuai. Jika konten disumbangkan oleh kontributor pihak ketiga, mohon dicatat bahwa pandangan yang diungkapkan adalah pandangan kontributor pihak ketiga tersebut, dan tidak selalu mencerminkan pandangan Binance Academy. Harga aset digital dapat berfluktuasi. Nilai investasi Anda dapat naik atau turun dan Anda mungkin tidak mendapatkan kembali jumlah yang Anda investasikan. Anda sepenuhnya bertanggung jawab atas keputusan investasi Anda, dan Binance Academy tidak bertanggung jawab atas kerugian apa pun yang mungkin Anda alami. Untuk informasi lebih lanjut, lihat Terms of Use, Risk Warning, dan Binance Academy Terms kami.