Pada 29 Oktober 2026, Binance mengalami insiden keamanan kripto yang kini dianggap sebagai yang terbesar dalam sejarah. Penarikan tanpa izin dari beberapa hot wallet menguras aset senilai sekitar $6,3 miliar di sejumlah blockchain. Investigasi awal Binance mengarah pada laptop milik seorang insinyur DevOps yang telah disusupi, sehingga memungkinkan penyerang mengakses kontainer layanan dan mengirimkan transaksi tanpa izin. Bursa tersebut menyatakan bahwa tidak ada bukti kebocoran kunci privat, dana pengguna tetap aman, dan seluruh kerugian akan ditanggung menggunakan dana SAFU dan sumber daya perusahaan.
Di antara aset yang dicuri terdapat sejumlah besar USDT dan USDC. Tether dengan cepat membekukan USDT senilai lebih dari $1,56 miliar, sementara Circle membekukan USDC senilai sekitar $823 juta. Penerbit lain juga mengambil tindakan, sehingga total nilai aset yang dibekukan mencapai sekitar $3 miliar.
Salah satu langkah penyerang yang lebih canggih melibatkan Aave. Antara pukul 20:58 dan 21:01 UTC — sekitar 40 menit sebelum Aave membekukan pasarnya sendiri — sebuah dompet yang terkait dengan pelaku eksploitasi menyetorkan 60 juta USDT sebagai jaminan di Aave V3 Ethereum Core dan meminjam 19.762 WETH (senilai sekitar $44,6 juta saat itu).
Langkah ini efektif karena alasan sederhana: setelah USDT disetorkan ke kontrak Aave, daftar hitam Tether tidak lagi dapat mencegah penggunaannya sebagai jaminan. Namun, ETH yang dipinjam tidak tunduk pada mekanisme pembekuan terpusat yang sama. Penyerang memindahkan ETH tersebut, sehingga Aave memegang jaminan USDT yang dibekukan dengan utang terutang sekitar $43,8 juta. Posisi tersebut tetap memiliki jaminan berlebih dan tunduk pada aturan likuidasi normal, sehingga Aave menyatakan bahwa para pemasok tidak menghadapi risiko material.
Sebagai tindakan pencegahan, Aave merespons dengan membekukan deposit dan pinjaman baru di 175 cadangan V3 pada 16 jaringan serta 117 cadangan V4 pada empat jaringan. Posisi yang sudah ada tetap dapat dilunasi atau ditarik, dan likuidasi terus berlangsung seperti biasa.
Insiden ini menyoroti asimetri yang jelas dalam infrastruktur kripto. Stablecoin yang dikendalikan penerbit dapat dibekukan di tingkat kontrak, sedangkan aset asli seperti ETH tidak dapat dibekukan. Dengan menyalurkan jaminan yang dapat dibekukan melalui protokol pinjaman besar sebelum pembekuan sepenuhnya berlaku, penyerang mengubah sebagian stablecoin curian menjadi aset yang jauh lebih sulit disita.
Binance terus bekerja sama dengan penegak hukum dan mitra blockchain untuk memulihkan aset. Laporan teknis lengkap setelah insiden diperkirakan akan diterbitkan setelah penyelidikan selesai.
Posisi Aave Tetap Sehat — Tidak Ada Risiko Sistemik
Meskipun transaksi ini menarik banyak perhatian, posisi yang ditinggalkan di Aave tidak menimbulkan ancaman berarti bagi protokol maupun penggunanya.
Penyerang menyetorkan USDT senilai $60 juta dan meminjam 19.762 WETH (sekitar $44,9 juta saat itu) dalam rentang waktu sekitar tiga menit. Posisi yang terbentuk memiliki faktor kesehatan sekitar 1,04 — jaminannya melebihi utang menurut standar protokol, dengan jaminan senilai $59,9 juta dibandingkan utang $44,9 juta.
Poin-poin utama dari pemantau risiko Aave dan data on-chain:
Utang terutang tersebut hanya mewakili sekitar 0,9% dari cadangan wETH Aave V3 Core (yang menampung sekitar 2,16 juta WETH pada saat artikel ini ditulis).
Likuiditas wETH yang tersedia tetap besar (sekitar 345.000 WETH, atau utilisasi ~81,6%), yang berarti deposan tetap dapat menarik dana dengan bebas jika mereka menghendakinya.
Likuidasi berjalan persis sesuai rancangan. Jika harga ETH naik sekitar 4% hingga mencapai level ~$2.365, posisi tersebut akan dilikuidasi melalui mekanisme pasar normal tanpa memerlukan intervensi khusus.
Tidak seperti insiden sebelumnya yang melibatkan jaminan bernilai nol atau beracun (seperti peristiwa terkait Kelp), jaminan ini adalah USDT asli. Tidak ada alasan untuk memicu dinamika penarikan dana besar-besaran dari bank ataupun respons terkoordinasi bergaya “DeFi United”.
Guardian Aave kemudian membekukan deposit dan pinjaman baru di pasar yang terdampak sebagai tindakan pencegahan untuk menghalangi konversi lebih lanjut atas aset curian. Posisi yang sudah ada, termasuk posisi ini, tetap berfungsi penuh untuk pelunasan dan penarikan. Secara teori, tata kelola dapat menargetkan satu posisi ini dengan peningkatan khusus, tetapi manfaat praktisnya kecil — likuidasi biasa diperkirakan akan menyelesaikannya dengan baik.
Singkatnya: protokol ini berhasil menahan penggunaan pasar pinjamannya secara adversarial yang canggih, tetapi sepenuhnya sesuai aturan, dan terus beroperasi secara normal. Cadangan dibekukan untuk aktivitas baru, tetapi pengguna tetap dapat mengelola posisi mereka tanpa gangguan. Hari lain yang menyita perhatian di DeFi, dan Aave tetap utuh.