Kronologi peretasan Binance seperti pada gambar:
Satu: pukul 4.24 dini hari, satu transaksi menguras seluruh isi sebuah wallet.
Dini hari tadi, salah satu hot wallet Binance yang paling sibuk di Ethereum—Binance 14—dikosongkan dalam satu transaksi.
Sebanyak 167.000 Ethereum, lebih dari 1,6 miliar USDT, ditambah sekitar 60 jenis koin, semuanya sekaligus ditransfer ke sebuah alamat baru yang baru saja dibuat dan belum memiliki riwayat transaksi. Setelah transfer, hanya tersisa 1 Ethereum di wallet nomor 14. Berdasarkan harga saat itu, nilai transaksinya sekitar 2,5 miliar dolar AS.
Dua puluh empat detik kemudian, wallet Binance nomor 16 juga mengirim 28.000 Ethereum dan sejumlah stablecoin ke alamat yang sama. Dalam 12 menit berikutnya, hot wallet di beberapa blockchain lain satu per satu ikut mentransfer dana ke sana, total ada sepuluh wallet.
Pukul 4.41, dengan memanfaatkan hak akses wallet nomor 14, peretas kembali mentransfer 780 juta USDC dari sebuah akun kontrak atas nama Binance, lalu menyusul dengan 43 juta lagi.
Saat itu, sebagian besar orang di Asia sedang tidur, sementara di Amerika hampir waktunya pulang kerja. Beberapa perusahaan analisis blockchain kemudian memperkirakan totalnya antara 5,8 hingga 5,9 miliar dolar AS. Binance sendiri belum memberikan angka final hingga sekarang.
Dua: peretas sudah berlatih sehari sebelumnya.
Menurut analisis pascainsiden dari perusahaan keamanan Blockaid, alamat yang digunakan pelaku mulai menarik dana dari mixer dalam tiga tahap sejak tanggal 28 sebagai modal awal. Sebelum beraksi, mereka menjalankan seluruh proses tiga kali di tiga wallet yang mereka kendalikan, dengan jumlah hanya dua hingga enam dolar setiap kali.
Pukul 23.59 tanggal 29, kontrak yang digunakan untuk mengosongkan wallet dalam sekali klik diterapkan di blockchain. Kontrak itu hanya menerima satu pemanggil, yaitu peretas, dan hanya melakukan satu hal: mentransfer semua koin dan Ethereum yang tercantum dari dalam wallet.
Aksi dimulai pukul 4.20. Peretas menggunakan kunci privat wallet Binance nomor 14 untuk menandatangani 50 otorisasi sekaligus, masing-masing terkait dengan nomor urut transaksi. Wallet tersebut masih melakukan penarikan dana untuk pengguna seperti biasa, dan nomor urutnya terus berubah. Karena tak bisa menebak nomor yang sedang berlaku, mereka menandatangani satu deret sekaligus. Sebanyak 49 otorisasi kedaluwarsa, satu berlaku. Tiga menit 24 detik kemudian, transaksi pengosongan wallet masuk ke blockchain.
Otorisasi tersebut ditandatangani menggunakan kunci privat milik wallet Binance sendiri. Menurut analisis Blockaid, kuncinya telah didapatkan seseorang, tetapi Binance belum menjelaskan bagaimana kunci itu bisa didapatkan.
Otorisasi tersebut tidak dicabut setelah wallet dikosongkan. Pukul 5.44, 200 juta USDT dan lebih dari sepuluh jenis koin masuk ke wallet nomor 14 seperti biasa. Peretas kembali menyapu dana itu tanpa perlu menandatangani apa pun.
Tiga: pihak yang pertama bergerak untuk memblokir adalah perusahaan penerbit stablecoin.
Stablecoin bisa dibekukan—itulah masalah terbesar yang dihadapi peretas kali ini.
CEO Tether mengunggah pernyataan di X pukul 5.25, mengatakan bahwa lebih dari 1,567 miliar USDT telah dibekukan. Circle membekukan lebih dari 800 juta USDC. Angka yang lebih awal diumumkan Zhao Changpeng adalah 971 juta USDT oleh Tether dan 823 juta USDC oleh Circle. Setelah itu, Tether kembali menaikkan angkanya.
Beberapa perusahaan lain juga menyusul. Ripple mengatakan sedang membekukan RLUSD milik peretas, sementara penerbit USD1 membekukan 27 juta USD1.
Pukul 8.14, komite keamanan Arbitrum mengeksekusi transaksi untuk membekukan sekitar 30,5 juta dolar AS yang ditinggalkan peretas di blockchain tersebut. Detektif on-chain ZachXBT adalah salah satu penandatangannya. Menurut analisis Ember, dana ini terdiri dari 8.426 Ethereum dan 74,56 juta ARB. Peretas mungkin mengira aset asli tidak akan terkena masalah, sehingga tidak buru-buru memindahkannya.
Pukul 8.52, Binance memperbarui angkanya dan mengonfirmasi bahwa total dana yang dibekukan sekitar 3 miliar dolar AS.
Hampir semua aset yang bisa dibekukan adalah stablecoin. Aset asli seperti Ethereum dan Bitcoin tidak bisa dibekukan di blockchain, dan masih berada di tangan peretas.
Empat: CZ muncul dan bicara pada pukul 5.15.
Pernyataan pertama yang memastikan kejadian ini datang dari Zhao Changpeng. Pukul 5.15, ia mengunggah di X bahwa tampaknya Binance memang diretas dan dana pengguna aman. Ia juga secara khusus menambahkan bahwa dirinya sudah tidak mengelola Binance, melainkan bertindak sebagai pemegang saham, dan memperkirakan dana pengguna akan diganti sepenuhnya.
Pukul 5.26, pendiri DefiLlama membuat perhitungan: Binance menyimpan sekitar 144 miliar dolar AS, dan setelah dikurangi stablecoin yang dibekukan, kerugian bersihnya hanya sekitar 1 miliar, kurang dari satu persen dari total dana kustodian. Pukul 6.23, Zhao Changpeng membagikan unggahan tersebut dan menjawab: kerugiannya mungkin sedikit lebih besar, tetapi akan diganti.
Pernyataan resmi pertama Binance muncul pukul 5.39 di akun berbahasa Mandarin. Pilihan katanya masih menyebut adanya potensi masalah keamanan, mengatakan bahwa mereka sedang menyelidiki dan dana pengguna aman, serta mengingatkan agar tidak mengeklik tautan tidak resmi.
Pukul 8.04, He Yi mengeluarkan pernyataan. Pukul 8.13, Binance menyusul dengan pernyataan resmi yang intinya sama: Binance akan menanggung seluruh kerugian, setoran dan penarikan dihentikan, pemeriksaan keamanan dan pembekuan dana sedang dilakukan, serta mereka bekerja sama dengan aparat penegak hukum. Laporan evaluasi lengkap akan diterbitkan setelah penyelidikan selesai.
Lima: apa yang dilakukan peretas selama beberapa jam ini?
Sibuk menukar koin yang mereka miliki menjadi aset yang tidak bisa dibekukan.
Menurut Lookonchain, menjelang pagi peretas mulai menjual altcoin seperti UNI dan PEPE di blockchain—total ada tujuh jenis—dan selesai sekitar pukul 9, dengan hasil sekitar 70.000 Ethereum. PEPE saja yang dijual mencapai lebih dari 7,7 triliun.
Ia juga menjaminkan USDT curian itu untuk meminjam 20.000 WETH di protokol pinjaman Aave, senilai sekitar 4,4 miliar dolar AS. Menurut CoinDesk, jika pinjaman ini tidak bisa ditagih, Aave mungkin akan menanggung kerugian.
Sekitar pukul 9.30, PeckShield kembali melihat peretas mengumpulkan Ethereum yang ditukar dari beberapa alamat ke satu alamat baru.
Enam: hampir empat kali lebih besar daripada kasus Bybit.
Rekor sebelumnya adalah Bybit pada Februari 2025, sekitar 1,5 miliar dolar AS, yang saat itu menjadi pencurian terbesar sepanjang sejarah dunia kripto. Berdasarkan perkiraan on-chain, kali ini nilainya hampir empat kali lipat.
Binance juga bukan baru pertama kali mengalami ini. Pada Mei 2019, 7.000 bitcoin dicuri dan Binance menggantinya dengan dana SAFU. Nilai kerugian saat itu terpaut dua orde besaran dari yang sekarang.
Tujuh: bagaimana kondisi orang-orang yang menyimpan uang di Binance sekarang?
Setoran dan penarikan untuk sementara dihentikan, begitu juga fitur Alpha yang terkait dengan transaksi on-chain. Menurut Cointelegraph, Binance US tidak terdampak.
Sejak dini hari hingga sekarang, pihak Binance setidaknya sudah lima atau enam kali menyatakan bahwa dana pengguna aman, dan dengan tegas mengatakan bahwa mereka akan menanggung seluruh kerugian. He Yi kembali mengunggah pernyataan sekitar pukul 9.20, mengatakan bahwa pemindaian keamanan di seluruh platform masih berlangsung.
Saat seperti ini, penipu yang menyamar sebagai layanan pelanggan dan mengirim tautan pengembalian dana paling banyak bermunculan. Binance secara khusus mengingatkan soal ini dalam pernyataan pertamanya: jangan klik tautannya.
Bagaimana kunci privat bisa bocor, berapa total kerugian sebenarnya, kapan setoran dan penarikan akan kembali dibuka, kapan laporan evaluasi akan diterbitkan—semua ini masih belum terjawab.
Hingga pukul 9.30 pagi, setoran dan penarikan masih dihentikan, dan laporan evaluasi juga belum terbit. Binance kemungkinan besar mampu menanggung kerugian kali ini. Yang lebih ingin saya lihat adalah bagaimana mereka menjelaskan soal kunci privat itu dalam laporan evaluasinya.