Sign Message vs Sign Transaksi: Bedanya di Wallet Crypto

Salah satu kebingungan paling umum di web3 adalah ini: popup wallet muncul, lalu Sobat Kripto bingung apakah ini cuma login, cuma tanda tangan pesan, atau benar-benar transaksi yang akan menggerakkan aset.

Kebingungan itu wajar. Di banyak dApp, tombol Sign, Confirm, dan Approve terlihat mirip bagi pemula, padahal konsekuensinya sangat berbeda. Memahami beda sign message dan sign transaksi adalah salah satu keterampilan keamanan paling penting sebelum aktif di DeFi, NFT, atau aplikasi on-chain lain.

Inti Perbedaannya

Secara sederhana:

• Sign message: kamu menandatangani pesan atau data. Tidak selalu ada transaksi on-chain dan sering tidak ada gas fee.
• Sign transaksi: kamu mengirim tindakan ke blockchain, misalnya transfer, swap, approve, mint, atau interact dengan smart contract. Biasanya ada gas fee dan perubahan state di chain.

Namun di lapangan, garis ini tidak selalu terasa jelas bagi pengguna. Itulah sebabnya kamu tidak boleh hanya berpatokan pada ada atau tidaknya gas fee.

Apa Itu Sign Message

MetaMask menjelaskan bahwa signature adalah cara wallet membuktikan bahwa pemilik alamat tertentu menyetujui atau mengakui pesan tertentu. Ini bisa dipakai untuk:

• login ke aplikasi web3;
• membuktikan kepemilikan alamat;
• menandatangani struktur data tertentu;
• memberi otorisasi tindakan off-chain.

Jadi, sign message bukan sekadar "klik aman" yang tidak ada akibatnya. Ia memang sering lebih ringan daripada transaksi, tetapi tetap bisa punya implikasi yang nyata.

Contoh Sign Message yang Umum

1. Login dengan wallet

Contoh paling sehat adalah Sign-In With Ethereum. Dalam model ini, dApp meminta kamu menandatangani pesan untuk membuktikan bahwa alamat wallet itu benar milikmu, tanpa perlu password tradisional.

2. Menyetujui data terstruktur

Di ekosistem Ethereum, EIP-712 memungkinkan wallet menampilkan data yang lebih terstruktur saat sign message. Ini lebih baik daripada blob teks acak, tetapi pengguna tetap harus membaca konteksnya.

3. Otorisasi off-chain

Beberapa marketplace, aggregator, atau aplikasi derivatif bisa meminta signature untuk order, listing, atau izin tertentu yang baru akan dieksekusi belakangan.

Di sinilah banyak orang keliru: karena tidak ada gas saat tanda tangan, mereka mengira tidak ada konsekuensi apa pun.

Apa Itu Sign Transaksi

Sign transaksi berarti kamu menyetujui tindakan yang akan dikirim ke blockchain dan memengaruhi state jaringan. Contohnya:

• mengirim ETH, SOL, atau token;
• swap di DEX;
• approve allowance token;
• mint NFT;
• staking atau unstaking;
• bridge antar-jaringan.

Karena tindakan ini diproses validator, biasanya ada fee dan tx hash yang bisa dilacak di explorer.

Kalau sign message lebih mirip tanda tangan persetujuan, sign transaksi lebih mirip menekan tombol eksekusi final.

Kenapa Banyak Orang Salah Paham

Ada tiga penyebab utama.

1. Tampilan popup mirip

Banyak wallet memakai desain popup yang bagi pemula terasa serupa. Padahal judul kecil seperti Signature Request, Typed Data, Approve, atau Send Transaction adalah pembeda utamanya.

2. Tidak semua risiko muncul sebagai transfer langsung

Signature tertentu bisa dipakai untuk order atau izin yang baru dimanfaatkan beberapa saat kemudian.

3. Pengguna mengira "no gas = no risk"

Ini asumsi yang berbahaya. Tidak ada gas memang sering berarti tidak ada transaksi on-chain saat itu juga. Tetapi signature masih bisa menimbulkan konsekuensi yang merugikan.

Cara Praktis Membedakannya

Sign message biasanya punya ciri:

• tidak selalu menampilkan gas fee;
• tidak selalu menghasilkan tx hash;
• sering bertuliskan Sign, Signature Request, atau Sign-In;
• berisi pesan teks atau data terstruktur.

Sign transaksi biasanya punya ciri:

• menampilkan estimasi fee;
• menunjukkan perubahan aset atau interaksi kontrak;
• menghasilkan tx hash setelah sukses;
• sering bertuliskan Confirm, Approve, Send, Swap, atau Mint.

Kapan Sign Message Tetap Berbahaya

Ini bagian yang paling penting.

1. Signature phishing

MetaMask secara eksplisit memperingatkan tentang signature phishing: pengguna diminta menandatangani sesuatu yang tampak rutin, padahal memberi otorisasi yang tidak dipahami.

2. Typed data yang tidak dibaca

EIP-712 memang meningkatkan keterbacaan, tetapi tetap tidak otomatis aman. Kalau kamu tidak mengerti siapa penerima, kontrak apa, dan tindakan apa yang sedang diotorisasi, jangan lanjut.

3. Order atau izin off-chain

Di beberapa aplikasi, signature bisa menjadi persetujuan untuk listing NFT, order perdagangan, atau delegasi tertentu. Uangnya mungkin tidak pindah saat itu, tetapi hak untuk menjalankan sesuatu bisa sudah diberikan.

Checklist Sebelum Menandatangani Apa Pun

1. Baca jenis request

Apakah ini signature request atau transaction confirmation?

2. Baca tujuan tindakan

Kalau kamu hanya mau login tetapi popup meminta Approve, ada yang tidak sinkron.

3. Periksa domain dApp

Jangan sampai kamu menandatangani pesan dari situs tiruan.

4. Periksa apakah ada nilai aset atau allowance

Kalau popup menunjukkan token, nominal, kontrak, atau izin, perlakukan itu sebagai tindakan berisiko lebih tinggi.

5. Jangan buru-buru

Frasa seperti "claim sekarang", "hanya 30 detik", atau "kalau tidak sign sekarang akan hangus" harus membuatmu lebih curiga, bukan lebih cepat klik.

Sign-In With Ethereum Bukan Hal yang Sama dengan Transfer

Dalam model SIWE, aplikasi meminta bukti kepemilikan wallet lewat pesan terstruktur. Ini bisa menjadi alternatif login yang sah, dan bukan transfer aset. Tetapi tetap ada syarat:

• domain aplikasi harus benar;
• nonce dan konteks login masuk akal;
• kamu tahu sedang masuk ke aplikasi apa.

Kalau situsnya palsu, bahkan SIWE yang sah secara teknis tetap bisa menjadi alat social engineering.

Implikasi Praktis untuk Pengguna Indonesia

Banyak pengguna Indonesia pertama kali masuk ke web3 dari exchange lokal berizin OJK, lalu pindah ke dApp global. Di sinilah standar mentalnya harus berubah.

Di exchange, banyak aksi terjadi lewat menu aplikasi yang lebih tertutup. Di dApp, kamu sendiri yang harus membaca:

• jenis persetujuan;
• kontrak yang dihubungi;
• network yang dipakai;
• apakah ini sekadar login atau tindakan finansial sungguhan.

Semakin kamu aktif di self-custody, semakin penting membedakan dua jenis tanda tangan ini.

Aturan Aman yang Paling Masuk Akal

• Login biasa: sign message boleh, asal domain dan konteks jelas.
• Persetujuan bernilai: baca typed data atau tolak jika tidak paham.
• Ada fee, token, atau allowance: anggap ini tindakan finansial, bukan sekadar login.
• Pakai wallet terpisah untuk eksperimen.

Kamu tidak harus memahami seluruh detail kriptografinya. Tetapi kamu harus tahu kapan sebuah popup hanya membuktikan identitas, dan kapan ia sedang memberi kuasa atas aset atau izin tertentu.

Disclaimer: Artikel ini bersifat edukatif dan bukan nasihat keamanan absolut. Jika kamu tidak paham isi popup wallet, tindakan paling aman adalah membatalkan, meneliti ulang domain dan kontraknya, lalu mencoba lagi hanya setelah konteksnya jelas.

FAQ Sign Message vs Sign Transaksi

Apakah sign message selalu aman?

Tidak selalu. Banyak sign message memang hanya untuk login, tetapi ada juga yang bisa memberi otorisasi tertentu jika konteksnya disalahgunakan.

Apakah sign transaksi selalu butuh gas?

Di banyak jaringan iya, karena itu adalah tindakan on-chain. Tetapi detail fee bisa berbeda menurut jaringan dan aplikasi.

Kalau tidak ada tx hash, apakah berarti aman?

Belum tentu. Tidak adanya tx hash hanya berarti belum tentu ada transaksi on-chain saat itu. Signature tetap bisa punya konsekuensi.

Apa tanda paling sederhana bahwa saya harus curiga?

Kalau kamu hanya mau login tetapi popup tiba-tiba menunjukkan approval token, perubahan network aneh, atau domain situs mencurigakan, batalkan dulu.