Baru saja melihat tangkapan layar sebuah grup yang sedang membagikan kabar rumor tentang seseorang yang sedang memindahkan stablecoin. Saat saya klik tautannya, nama domainnya terlihat mencolok dan penuh hiasan dengan tiruan situs—tampilannya juga sangat berbeda dari antarmuka yang biasanya dipakai untuk berinteraksi. Jujur saja, belakangan ini situs phishing memang benar-benar banyak. Begitu ada orang di grup yang meneruskan pesan tentang pemisahan (de-peg) atau kabar lepas jangkar, biasanya ada juga yang langsung ikut mengklik.

Kebiasaan saya sendiri: seed phrase (kata sandi pemulihan) hampir tidak pernah saya sentuh di jaringan, bahkan screenshot pun tidak saya simpan. Untuk bagian “signature authorization” (otorisasi tanda tangan), sekarang setiap kali saya selesai berinteraksi dengan AAVE atau Compound, saya selalu sengaja mengecek izin kontraknya—apakah sudah dibuka. Intinya, izin memang kadang terbuka. Setelah itu harus dimatikan secara manual, kalau tidak suatu hari ada situs phishing yang memanfaatkan tanda tangan lalu semuanya disapu (sweep).

Kalau dibilang terus terang, garis merah keamanannya cuma beberapa: jangan pernah membawa seed phrase ke situs apa pun, jangan sembarangan mengklik tautan dari grup yang asal-usulnya tidak jelas, dan ingat untuk membersihkan izin setelah diotorisasi. Kalian biasanya pernah menemui semacam pop-up aneh yang bilang “terdeteksi risiko rendah” lalu menyuruh kalian menandatangani?