Pada 29–30 Oktober 2026, Binance mengalami insiden keamanan dengan skala yang jarang terjadi, tetapi dampaknya berhasil diredam secara signifikan. Fakta utamanya: beberapa hot wallet secara tidak wajar “disapu” dalam waktu sangat singkat. Nilai arus keluar yang tercatat sempat dilacak hingga puluhan miliar dolar, tetapi penerbit stablecoin utama dengan cepat membekukan sebagian besar dana yang terlibat. Menurut perkiraan CZ, kerugian bersih aktual sekitar sedikit di atas 1 miliar dolar AS, dan Binance berjanji akan menanggungnya sepenuhnya.

Arus keluar tidak wajar: beberapa hot wallet “disapu” secara beruntun

Peristiwa ini bermula sekitar pukul 04.24 pada 30 Oktober waktu Taipei (20.24 UTC pada 29 Oktober), ketika hot wallet yang ditandai Binance sebagai “Binance 14” memicu transaksi sweep (penyapuan), yang sekaligus mentransfer sekitar 167.464 ETH dan 63 jenis token ERC-20, termasuk sekitar 1,615 miliar USDT, dengan nilai sekitar 2,5 miliar dolar AS saat itu.

Segera setelah itu, anomali terus berlanjut:

· Hanya 24 detik kemudian, hot wallet lain bernama “Binance 16” mentransfer sekitar 28.005 ETH ke alamat penerima yang sama, serta aset lain seperti sekitar 55,74 juta USDT dan 25,94 juta RLUSD.

· Sekitar 17 menit kemudian (pukul 4:41), “Hot Wallet 34” kembali mentransfer 780 juta USDC ke alamat yang sama; setelah itu, ada lagi transfer keluar sebesar 43 juta dolar AS dalam USDC.

Karena dana dalam waktu singkat mengalir dari beberapa hot wallet independen ke alamat yang baru dibuat pada hari itu, peringatan on-chain pada awalnya bahkan belum dapat mengesampingkan kemungkinan adanya “pemindahan rutin untuk keperluan operasional”. Namun, fakta bahwa alamat penerima itu baru dibuat, aset kembali dipindahkan dengan cepat, serta penggunaan fungsi sweep segera membuat pasar cenderung menilainya sebagai serangan.

Modus serangan: masalahnya bukan pada kunci privat, melainkan pada “otorisasi tanda tangan”

Hal yang membuat peristiwa ini unik dari sisi teknis adalah bahwa penyerang tampaknya tidak mencuri kunci privat dompet Binance secara langsung.

Analisis on-chain mengarah pada penyalahgunaan mekanisme EIP-7702 Ethereum. Mekanisme ini memungkinkan sebuah akun eksternal mendelegasikan hak eksekusi kepada kode tertentu melalui “otorisasi tanda tangan”. Diduga, penyerang memperoleh otorisasi tanda tangan melalui phishing atau cara lain, lalu memasang kode berbahaya dengan fungsi “penyapuan” pada dompet yang terkait dengan Binance, sebelum menggunakan fungsi sweep untuk mentransfer aset secara massal. Para analis keamanan menunjukkan bahwa jika penyerang benar-benar menguasai kunci privat, mereka tidak perlu melalui relayer dan proses otorisasi; mereka dapat langsung memindahkan aset melalui transaksi atomik. Karena itu, penjelasan yang lebih masuk akal adalah bahwa mereka hanya memperoleh “tanda tangan otorisasi EIP-7702”.

Artinya, ambang untuk melancarkan serangan menjadi jauh lebih rendah: tidak perlu membobol kunci privat; cukup menipu seseorang agar memberikan otorisasi tanda tangan sekali, dan sebuah alamat dapat dibuat berada dalam kondisi yang bisa “disapu”. Fakta bahwa aset dari dompet yang sama masih dapat ditransfer lagi setelah penyapuan pertama juga menegaskan bahwa otorisasi tersebut sempat tetap berlaku setelah insiden terjadi.

Pembekuan dan penetapan: dari “sedang diselidiki” menjadi “memang serangan”

Setelah insiden terjadi, pernyataan publik Binance mengalami perubahan yang jelas menjadi lebih tegas. Pernyataan awal hanya menyebut bahwa mereka “sedang menyelidiki potensi masalah keamanan” dan “belum mengonfirmasi adanya dampak terhadap dana pengguna”. Dalam waktu sekitar belasan menit, pernyataan itu beberapa kali diubah. Versi akhirnya menyatakan bahwa “dana pengguna sepenuhnya aman”, tetapi saat itu belum secara resmi menyebut insiden tersebut sebagai “pencurian” atau “peretasan”.

Perubahan sikap terjadi setelah CZ (Changpeng Zhao) memberikan pernyataan. Ia secara tegas mengatakan, “Ini tampaknya memang merupakan serangan peretasan terhadap Binance,” sembari menekankan bahwa dana pengguna aman dan berterima kasih kepada Tether dan Circle atas tindakan pembekuan yang cepat. CZ juga menjelaskan bahwa ia tidak lagi mengelola operasional harian Binance, tetapi sebagai pemegang saham, ia memperkirakan seluruh dana pengguna akan ditanggung sepenuhnya.

Seiring dengan penetapan tersebut, penerbit stablecoin juga melakukan pembekuan:

· Tether membekukan lebih dari 1,567 miliar USDT (laporan lain menyebutkan sekitar 971 juta dolar AS);

· Circle membekukan sekitar 823 juta USDC.

Total dana yang dibekukan oleh kedua pihak mencapai sekitar 2,39 miliar dolar AS. Inilah alasan utama munculnya selisih besar antara “dana keluar yang tercatat” dan “kerugian sebenarnya”.

Angka di atas kertas dan kerugian sebenarnya: mengapa nilainya berubah dari miliaran menjadi “sedikit di atas 1 miliar”

Karena serangan ini melibatkan beberapa dompet, banyak blockchain, dan puluhan jenis token, total dana keluar menurut pelacakan on-chain sempat sangat simpang siur: mulai dari sekitar 2,5 miliar dolar AS pada perkiraan awal, lalu sekitar 2,8 miliar dolar AS, hingga sekitar 3,3 miliar dolar AS berdasarkan pelacakan selanjutnya. Bahkan, ada lembaga pemantau yang memperkirakan nilainya lebih dari 5,8 miliar dolar AS.

Namun, angka-angka tersebut terutama menunjukkan skala transfer, bukan kerugian bersih yang pada akhirnya tidak dapat dipulihkan. Perkiraan pendiri DefiLlama, 0xngmi, memberikan gambaran yang lebih jelas: setelah USDT dan USDC dibekukan dalam jumlah besar, total kerugian insiden ini sekitar 1 miliar dolar AS, hanya 0,69% dari sekitar 144 miliar dolar AS aset kustodian Binance, jumlah yang sepenuhnya dapat ditanggung oleh neraca Binance. CZ membagikan perkiraan ini dan menambahkan bahwa “kerugiannya mungkin sedikit lebih besar dari angka tersebut, tetapi semuanya akan ditanggung”.

Hubungan antara angka-angka ini adalah: dari aset yang ditransfer penyerang, stablecoin senilai sekitar 2,4 miliar dolar AS dibekukan oleh penerbitnya. Bagian yang benar-benar lepas dari kendali Binance dan belum dibekukan dalam waktu dekat menyusut menjadi sekitar 1 miliar dolar AS. Karena itu, Binance menanggung kerugian bersih yang dapat ditutup, bukan kehilangan seluruh dana senilai miliaran dolar.

Penangguhan penarikan dan dampak nyata bagi pengguna

Selama pemeriksaan keamanan, Binance menangguhkan penarikan. Awalnya, pihak resmi menyebut penarikan sebagian pengguna terhambat akibat “kesalahan teknis”. Setelah itu, mereka dengan tegas menyatakan bahwa “penarikan akan dipulihkan setelah masalah keamanan sepenuhnya diselesaikan” dan kembali menegaskan bahwa dana pengguna aman. Artinya, dampak langsung insiden ini bagi pengguna biasa terutama berupa gangguan penarikan dalam jangka pendek, bukan saldo akun yang menjadi nol. Pernyataan CZ dan Binance konsisten: dana pengguna “sepenuhnya aman” dan kerugian akan ditanggung oleh platform.

Secara keseluruhan, gambaran sebenarnya dari insiden ini adalah serangan penyapuan tanpa otorisasi berskala besar terhadap hot wallet Binance yang memanfaatkan mekanisme otorisasi EIP-7702. Angka dana keluar yang tercatat sempat mencapai miliaran dolar AS, tetapi berkat pembekuan stablecoin dan penyangga neraca platform, kerugian bersih sebenarnya berhasil ditekan hingga sekitar 1 miliar dolar AS. Dana pengguna tidak mengalami kerugian langsung, dan penarikan dipulihkan setelah keamanan dipastikan. Identitas penyerang maupun cara spesifik mereka memperoleh otorisasi belum diumumkan; penyelidikan dan pelacakan dana masih berlangsung.