Waspadai AI Agents Berbahaya OpenClaw Bisa Menguras Dompet Kripto

Oleh VOXBLICK

Rabu, 03 Juni 2026 - 11.45 WIB

Waspadai AI Agents Berbahaya OpenClaw Bisa Menguras Dompet Kripto

Waspadai AI agents berbahaya (Foto oleh www.kaboompics.com)

VOXBLICK.COM - CertiK baru-baru ini mengingatkan soal ancaman yang terlihat “baru” tapi memanfaatkan pola lama: AI agents yang dirancang untuk membantu tugas otomatis justru bisa dipakai untuk tindakan berbahaya. Salah satu yang menjadi perhatian adalah OpenClaw, yang diduga menyertakan malicious skills (kemampuan/skill berbahaya) sehingga berpotensi menguras dompet kripto dan menjadi vektor serangan supply chainartinya, penyerang menyusup lewat komponen pihak ketiga atau integrasi yang semula terlihat sah.

Kalau kamu mengelola aset kripto, pernah pakai bot, plugin, atau integrasi berbasis AI, peringatan ini patut kamu anggap serius.

Bukan karena semua AI agents itu jahat, tetapi karena ekosistemnya sangat cepat berkembang, sementara praktik keamanan sering tertinggal. Yuk kita bahas tanda bahaya, cara kerja risikonya, dan langkah mitigasi yang bisa kamu lakukan secara praktis.

Mengapa AI Agents Bisa Jadi Berbahaya untuk Dompet Kripto?

AI agents pada dasarnya adalah sistem yang mampu mengambil keputusan dan menjalankan tindakan berdasarkan instruksi dan konteks. Dalam skenario yang “ideal”, agen ini membantu pengguna melakukan tugas seperti:

meringkas informasi pasar,
mengusulkan strategi trading,
mengotomatiskan proses penjadwalan transaksi,
atau berinteraksi dengan aplikasi on-chain (misalnya lewat API).

Masalahnya muncul ketika agen tersebut tidak hanya “cerdas”, tapi juga diberi akses ke kemampuan yang bisa dieksploitasi. Malicious skills adalah bagian dari agent yang tampak seperti fitur biasa, namun sebenarnya dirancang untuk:

mengambil alih alur eksekusi transaksi,
mengarah ke alamat berbahaya,
menyalahgunakan izin (permissions) yang terlalu longgar,
atau memanipulasi permintaan agar pengguna (atau sistem) menyetujui aksi yang merugikan.

Dalam konteks OpenClaw, kekhawatiran yang disorot adalah kemampuan agen untuk menguras dompet kripto dengan cara yang tidak selalu terlihat “langsung” oleh pengguna.

Kadang, serangannya bekerja lebih seperti “pengalihan bertahap” ketimbang sekali klik langsung menguras saldo.

Supply Chain Attack: Cara Licik yang Sering Terlihat “Normal”

Istilah vektor serangan supply chain berarti penyerang tidak harus membobol sistem target secara langsung.

Mereka bisa menyusup lewat rantai distribusi: library, plugin, model, skrip otomatis, integrasi, atau konfigurasi yang digunakan oleh pihak lain.

Bayangkan kamu memakai AI agent melalui:

platform pihak ketiga,
framework yang memuat “skills” tambahan,
repo GitHub atau template yang belum diaudit,
atau plugin yang terhubung ke layanan on-chain.

Jika ada komponen yang disusupi, maka agent yang kamu jalankan bisa saja membawa “muatan” berbahaya meski UI-nya terlihat rapi dan instruksinya terdengar meyakinkan.

Inilah kenapa peringatan CertiK penting: ancaman seperti OpenClaw bukan sekadar soal malware tradisional, melainkan soal kepercayaan pada komponen yang seharusnya aman.

Tanda Bahaya AI Agents yang Perlu Kamu Waspadai

Tidak semua kasus akan menampilkan indikator yang jelas. Tapi ada beberapa pola yang sering muncul pada insiden terkait agen otomatis dan integrasi kripto:

Minta izin akses yang tidak relevan dengan kebutuhan utamanya (misalnya akses untuk transaksi tanpa penjelasan detail).
Meminta kamu mengonfirmasi tindakan yang terdengar tidak masuk akal, seperti “approve token” dalam jumlah besar atau ke alamat yang tidak dikenal.
Perilaku tidak konsisten (misalnya agent biasanya hanya membaca data, tiba-tiba mengirim transaksi).
Skill/komponen tambahan yang tidak kamu pasang sendiri atau tidak kamu pahami fungsinya.
Alamat tujuan transaksi yang berganti-ganti atau tidak sesuai strategi yang kamu setujui.
Perubahan konfigurasi mendadak setelah update atau integrasi baru.

Kalau kamu melihat beberapa indikator di atas, anggap itu “alarm merah” dan lakukan verifikasi sebelum ada transaksi berjalan.

Langkah Mitigasi Praktis: Amankan Dompet dan Alur Otomasi

Berita buruknya: kamu tidak bisa mengandalkan “percaya dulu, cek belakangan”. Kabar baiknya: kamu bisa mengurangi risiko secara signifikan dengan langkah-langkah berikut.

1) Terapkan prinsip “least privilege” untuk akses transaksi

Batasi akses agent ke tindakan yang benar-benar diperlukan.
Hindari memberi izin luas (contoh: unlimited token approval) bila tidak ada kebutuhan yang jelas.
Gunakan kontrak/permission yang paling sempit cakupannya.

2) Pisahkan aset: gunakan dompet berbeda untuk eksperimen dan operasional

Jangan campur dana utama dengan dana yang dipakai untuk testing atau penggunaan bot.
Kalau agent dipakai untuk strategi tertentu, gunakan dompet khusus dengan saldo terbatas.
Gunakan pendekatan bertahap: uji dulu dengan nominal kecil.

3) Audit komponen: fokus pada “skills” dan integrasi pihak ketiga

Telusuri daftar skill yang dipasang pada AI agent.
Periksa sumbernya: apakah resmi, terverifikasi, atau ada riwayat keamanan yang baik?
Waspadai repo/template yang tidak jelas lisensinya atau tidak disertai dokumentasi.

4) Kurangi ketergantungan pada otomatisasi penuh

Kalau memungkinkan, gunakan mode semi-otomatis:

agent boleh menyusun rencana,
tetapi eksekusi transaksi tetap kamu lakukan setelah review.

Dengan begitu, kamu punya “checkpoint” untuk mendeteksi perilaku mencurigakan sebelum dana bergerak.

5) Periksa approval dan allowance secara berkala

Banyak insiden tidak terjadi karena transaksi “langsung” mencuri, melainkan karena approval token yang kebesaran. Biasakan:

cek allowance untuk token ERC-20,
hapus approval yang tidak perlu,
pastikan spender (pihak yang diberi akses) sesuai dan masih relevan.

6) Siapkan prosedur respons cepat jika ada indikasi penyalahgunaan

Jika agent mulai mengarah ke transaksi tak wajar, hentikan penggunaan segera.
Cabut akses/approval yang dianggap berbahaya.
Dokumentasikan aktivitas (waktu, kontrak, alamat tujuan) untuk membantu investigasi.

Checklist Keamanan untuk Pengguna AI Agent Berbasis Kripto

Supaya lebih mudah, kamu bisa pakai checklist ini sebelum menjalankan AI agent yang terhubung ke dompet kripto:

Skill apa saja yang terpasang? Apakah semuanya kamu pahami?
Apakah agent butuh kemampuan transaksi, atau cukup membaca data?
Apakah dompet yang dipakai khusus dan dananya terbatas untuk eksperimen?
Apakah ada unlimited approval yang tersisa?
Apakah ada perubahan konfigurasi setelah update?
Apakah kamu siap memutus akses saat ada perilaku aneh?

Kenapa Ini Penting Meski Kamu Bukan Trader Aktif?

Ancaman seperti OpenClaw relevan untuk siapa pun yang:

menggunakan bot on-chain,
menghubungkan wallet ke aplikasi otomatis,
memanfaatkan integrasi AI untuk aktivitas keuangan,
atau sekadar mencoba tools baru yang “katanya” mempermudah.

Semakin banyak proses yang kamu delegasikan ke agen otomatis, semakin besar kebutuhan untuk memahami batasan akses dan memastikan komponen yang kamu gunakan tidak membawa “malicious skills”.

Langkah Berikutnya: Jadikan Keamanan sebagai Kebiasaan

AI agents memang bisa mempercepat kerja dan membantu pengambilan keputusan.

Namun, peringatan CertiK tentang OpenClaw menunjukkan bahwa teknologi baru tetap bisa dipakai untuk tujuan lama: penyalahgunaan izin, manipulasi eksekusi, dan serangan supply chain.

Kalau kamu ingin aset kripto lebih aman, fokuslah pada tiga hal: batasi akses, pisahkan dana, dan audit komponen (terutama skill dan integrasi pihak ketiga).

Dengan kebiasaan sederhana tapi konsisten, kamu bisa mengurangi peluang “AI agent berbahaya menguras dompet kripto” terjadi pada kamu.