Approval Scam (Token Approval) adalah modus penipuan di mana pelaku memanipulasi korban agar memberikan izin akses penuh terhadap dompet kripto mereka melalui tanda tangan transaksi palsu. Setelah izin diberikan, pelaku dapat menyedot seluruh aset digital yang ada di dalam dompet tersebut secara sepihak tanpa membutuhkan interaksi atau persetujuan tambahan dari korban.
🔊 Cara baca: e-pru-vel skem
Penjelasan
Bayangkan kamu memberikan kartu ATM beserta nomor PIN kamu kepada kasir toko hanya untuk membayar belanjaan seharga sepuluh ribu rupiah. Bedanya, dalam kasus ini kamu tidak memberikan PIN secara langsung, melainkan menandatangani selembar surat perjanjian tertulis yang isinya memperbolehkan kasir tersebut mengambil uang dari rekeningmu kapan saja tanpa batas.
Di dunia kripto, modus ini terjadi ketika kamu mengunjungi situs web palsu dan menyetujui transaksi yang tampaknya biasa. Padahal, persetujuan itu adalah surat izin digital yang memperbolehkan si pemilik situs untuk menyedot token kripto milikmu kapan pun mereka mau.
Secara teknis, token approval adalah fitur standar di jaringan blockchain yang memungkinkan aplikasi pihak ketiga (seperti bursa terdesentralisasi) berinteraksi dengan token di dompet pengguna. Fitur ini sangat berguna untuk memproses transaksi otomatis, tetapi memiliki celah keamanan jika disalahgunakan oleh pihak tidak bertanggung jawab.
Dalam penipuan ini, pelaku merancang situs web phishing yang menyerupai platform keuangan terdesentralisasi terpercaya. Saat korban mencoba bertransaksi, situs tersebut memicu permintaan persetujuan untuk mengakses token dengan batas maksimal tanpa batas (unlimited approval).
Sekali korban menandatangani atau menyetujui permintaan tersebut di dompet kripto mereka, kontrak pintar milik penipu mendapatkan hak penuh atas token tersebut. Pelaku kemudian bisa memindahkan aset korban ke alamat dompet lain kapan saja, bahkan berhari-hari atau berminggu-minggu setelah korban meninggalkan situs web tersebut.
Secara teknis di blockchain Ethereum Virtual Machine (EVM), transaksi token approval memicu fungsi approve() pada smart contract standar ERC-20 dengan parameter spender (alamat penipu) dan value yang diatur ke batas maksimal (2^256 - 1). Selama izin ini belum dicabut (revoked) dengan memanggil kembali fungsi approve() dengan nilai nol, penipu dapat terus memanggil fungsi transferFrom() dari smart contract mereka untuk menarik aset korban secara instan ke dompet mereka.
🇮🇩 Konteks Indonesia
Aset kripto di Indonesia dikategorikan sebagai komoditi yang dapat diperdagangkan dan bukan alat pembayaran sah, sehingga seluruh transaksi jual-beli wajib dilakukan lewat exchange terdaftar resmi sebagai PFAK. Pengawasan industri ini berada di bawah kewenangan OJK/Bappebti, di mana setiap transaksi di bursa terdaftar dikenai pajak final. Modus approval scam ini biasanya terjadi di luar exchange resmi, yaitu saat investor menggunakan dompet Web3 mandiri untuk berinteraksi dengan aplikasi pihak ketiga ilegal yang tidak tunduk pada aturan hukum Indonesia.
Contoh
Bayangkan kamu menggunakan jasa kurir pos untuk mengirimkan surat. Alih-alih menandatangani resi pengiriman untuk satu surat tersebut, kurir tersebut menyodorkan surat kuasa yang memberi mereka izin untuk masuk ke rumahmu dan mengambil paket apa saja yang mereka inginkan di masa depan. Begitu tanda tangan diberikan, kurir tersebut memiliki otoritas penuh untuk mengambil barang-barangmu secara legal di mata sistem, meskipun kamu tidak berada di rumah saat pengambilan terjadi.
Bagaimana cara membedakan transaksi biasa dengan token approval yang berbahaya?
Transaksi biasa hanya meminta izin untuk mengirim sejumlah aset tertentu dalam satu waktu. Sementara itu, token approval yang berbahaya akan meminta izin untuk membelanjakan token kamu dengan jumlah tidak terbatas, yang biasanya ditunjukkan dengan status akses tak terbatas atau unlimited pada layar konfirmasi dompet digital kamu.
Apakah aman jika saya sudah memutuskan koneksi dompet dari situs web penipu?
Memutuskan koneksi dompet (disconnect wallet) saja tidak cukup untuk menghentikan penipuan ini. Izin akses yang sudah ditandatangani tetap aktif di blockchain, sehingga kamu harus membatalkan izin tersebut secara manual menggunakan fitur pencabutan izin (revoke approval) melalui situs pelacak blockchain terpercaya.
🧠 Uji Paham
Istilah Terkait
Terakhir diperbarui 19 Juli 2026. Konten bersifat informatif/edukatif, bukan nasihat keuangan atau hukum - regulasi kripto bisa berubah, selalu verifikasi ke sumber resmi (OJK/Bappebti) untuk keputusan penting.