Dana sebesar 16 juta dolar AS dipindahkan. Bursa bilang itu dompet lama yang sudah dinonaktifkan tahun lalu 💸
📣 盘面异动群里喊
Pada Kamis, sebuah bursa besar di India menanggapi di X. Mereka mengatakan alamat-alamat yang ditandai oleh penyelidik on-chain itu dibuat pada Januari 2025 dan sudah dinonaktifkan setelah diretas pada Juli 2025. Namun, ZachXBT langsung membantah: salah satu alamat deposit masih digunakan oleh penyedia likuiditas selama 10 bulan penuh setelah peretasan ⚠️
Perbedaan 10 bulan ini sangat penting. Kalau dompet itu memang sudah tidak digunakan, seharusnya dompet tersebut tidak lagi menerima deposit pengguna atau menerima transfer biaya gas.
Kejadian ini bermula pada Rabu, ketika Darcy, salah satu pendiri platform pemulihan aset FlashRescue, menandai transfer senilai sekitar 16 juta dolar AS. Alamat sumbernya diidentifikasi sebagai milik bursa tersebut oleh analisis on-chain. Ia kemudian menambahkan bahwa dua alamat yang tercantum dalam laporan bukti cadangan terbaru bursa itu pernah mengirim uang ke alamat TRON yang ditandai tersebut.
Tanggapan CEO bursa itu terdengar standar: mereka sudah mengetahui masalahnya, sedang menyelidiki lebih lanjut, akan segera memberikan kabar terbaru, dan menjamin dana pengguna tidak akan hilang.
Masalahnya, pengguna tidak pernah sekadar meminta jaminan. Mereka ingin tahu apakah alamat on-chain itu memang cocok.
Kalau urutan waktunya disusun dengan jelas, duduk perkaranya terlihat. Pada Juli 2025, bursa ini diretas dan kehilangan 44 juta dolar AS. Saat itu, pengumuman mereka menyebut dompet pelanggan terpisah dari akun yang terdampak, sementara kerugian ditanggung dari cadangan milik bursa sendiri. Lebih dari setahun kemudian, alamat-alamat yang sama kembali mencuat—dan bukan karena aktivitas mencurigakan sekali saja, melainkan karena terus digunakan.
Menurut saya, yang benar-benar perlu diperhatikan dalam kasus seperti ini bukanlah jumlah uangnya. Dibandingkan 44 juta dolar AS, 16 juta memang tidak terlalu besar. Namun, sifat kedua kasus ini sangat berbeda. Yang pertama tampak seperti insiden satu kali, sedangkan yang kedua menunjukkan celah dalam disiplin operasional. Peretasan bisa disebabkan serangan dari luar. Alamat yang seharusnya sudah tak terpakai tetapi masih digunakan selama 10 bulan hanya bisa disebabkan oleh proses internal 🔍
Di sinilah kelemahan bukti cadangan terlihat. Bukti tersebut menunjukkan bahwa aset tersedia pada suatu waktu tertentu, tetapi tidak membuktikan bahwa alamat-alamat itu tidak bergerak setelahnya. Apalagi, bukti itu tidak menunjukkan bahwa alamat lama sudah dinonaktifkan. Selama masih ada yang menggunakannya untuk menerima dana, setiap snapshot cadangan bisa menyesatkan.
Jadi, penilaiannya sederhana. Selanjutnya, perhatikan dua hal: apakah bursa bisa menunjukkan catatan on-chain tentang pengalihan kendali atas alamat tersebut, dan apakah alamat dalam bukti cadangan akan diam-diam diganti. Kalau kedua hal ini tidak dijelaskan dengan gamblang, 16 juta dolar itu mungkin baru permulaan.
Yuk, bahas di kolom komentar: apakah kamu biasanya mengecek apakah alamat bukti cadangan yang diumumkan bursa masih terus beraktivitas? 🦖
Klik foto profil untuk menonton siaran langsung
Setiap hari, kami mengajakmu mengikuti isu-isu terkini seputar keamanan kripto. Bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
📣 盘面异动群里喊
Pada Kamis, sebuah bursa besar di India menanggapi di X. Mereka mengatakan alamat-alamat yang ditandai oleh penyelidik on-chain itu dibuat pada Januari 2025 dan sudah dinonaktifkan setelah diretas pada Juli 2025. Namun, ZachXBT langsung membantah: salah satu alamat deposit masih digunakan oleh penyedia likuiditas selama 10 bulan penuh setelah peretasan ⚠️
Perbedaan 10 bulan ini sangat penting. Kalau dompet itu memang sudah tidak digunakan, seharusnya dompet tersebut tidak lagi menerima deposit pengguna atau menerima transfer biaya gas.
Kejadian ini bermula pada Rabu, ketika Darcy, salah satu pendiri platform pemulihan aset FlashRescue, menandai transfer senilai sekitar 16 juta dolar AS. Alamat sumbernya diidentifikasi sebagai milik bursa tersebut oleh analisis on-chain. Ia kemudian menambahkan bahwa dua alamat yang tercantum dalam laporan bukti cadangan terbaru bursa itu pernah mengirim uang ke alamat TRON yang ditandai tersebut.
Tanggapan CEO bursa itu terdengar standar: mereka sudah mengetahui masalahnya, sedang menyelidiki lebih lanjut, akan segera memberikan kabar terbaru, dan menjamin dana pengguna tidak akan hilang.
Masalahnya, pengguna tidak pernah sekadar meminta jaminan. Mereka ingin tahu apakah alamat on-chain itu memang cocok.
Kalau urutan waktunya disusun dengan jelas, duduk perkaranya terlihat. Pada Juli 2025, bursa ini diretas dan kehilangan 44 juta dolar AS. Saat itu, pengumuman mereka menyebut dompet pelanggan terpisah dari akun yang terdampak, sementara kerugian ditanggung dari cadangan milik bursa sendiri. Lebih dari setahun kemudian, alamat-alamat yang sama kembali mencuat—dan bukan karena aktivitas mencurigakan sekali saja, melainkan karena terus digunakan.
Menurut saya, yang benar-benar perlu diperhatikan dalam kasus seperti ini bukanlah jumlah uangnya. Dibandingkan 44 juta dolar AS, 16 juta memang tidak terlalu besar. Namun, sifat kedua kasus ini sangat berbeda. Yang pertama tampak seperti insiden satu kali, sedangkan yang kedua menunjukkan celah dalam disiplin operasional. Peretasan bisa disebabkan serangan dari luar. Alamat yang seharusnya sudah tak terpakai tetapi masih digunakan selama 10 bulan hanya bisa disebabkan oleh proses internal 🔍
Di sinilah kelemahan bukti cadangan terlihat. Bukti tersebut menunjukkan bahwa aset tersedia pada suatu waktu tertentu, tetapi tidak membuktikan bahwa alamat-alamat itu tidak bergerak setelahnya. Apalagi, bukti itu tidak menunjukkan bahwa alamat lama sudah dinonaktifkan. Selama masih ada yang menggunakannya untuk menerima dana, setiap snapshot cadangan bisa menyesatkan.
Jadi, penilaiannya sederhana. Selanjutnya, perhatikan dua hal: apakah bursa bisa menunjukkan catatan on-chain tentang pengalihan kendali atas alamat tersebut, dan apakah alamat dalam bukti cadangan akan diam-diam diganti. Kalau kedua hal ini tidak dijelaskan dengan gamblang, 16 juta dolar itu mungkin baru permulaan.
Yuk, bahas di kolom komentar: apakah kamu biasanya mengecek apakah alamat bukti cadangan yang diumumkan bursa masih terus beraktivitas? 🦖
Klik foto profil untuk menonton siaran langsung
Setiap hari, kami mengajakmu mengikuti isu-isu terkini seputar keamanan kripto. Bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀