Pada dini hari tanggal 30 Oktober waktu Beijing, terjadi serangan yang mungkin tercatat dalam sejarah keamanan mata uang kripto.
Sejumlah dompet panas Binance mengalami transfer tidak wajar, dengan aset senilai sekitar 6,3 miliar dolar AS yang melibatkan beberapa jaringan blockchain.
Ini bukan pencurian dompet biasa.
Yang paling mengerikan adalah: peretas tampaknya tidak meretas blockchain secara langsung, melainkan berhasil mengeksploitasi sistem penandatanganan dan eksekusi transaksi milik bursa itu sendiri.
Saya menelusuri kembali catatan on-chain dan penyelidikan publik terkait insiden ini. Ada beberapa detail yang sangat patut diperhatikan.
I. Pukul 04.20 dini hari, Binance 14 diam-diam diambil alih
Penyerang mengincar hot wallet utama Binance, yaitu Binance 14.
Wallet ini telah lama menangani aliran dana dalam jumlah besar.
Penyerang menggunakan mekanisme EIP-7702 Ethereum.
Sederhananya: wallet Ethereum biasa dapat memberikan sebagian kemampuan eksekusinya kepada kontrak pintar melalui otorisasi.
Setelah otorisasi berhasil, kontrak dapat menjalankan operasi wallet sesuai logika yang telah ditetapkan.
Sekitar pukul 04.20, penyerang mengirimkan transaksi yang berisi 50 otorisasi yang telah ditandatangani sebelumnya.
Mengapa 50?
Karena setiap otorisasi menggunakan Nonce (nomor urut transaksi) yang berbeda. Penyerang tidak dapat memperkirakan secara akurat Nonce wallet saat itu, jadi mereka menyiapkan 50 kemungkinan sekaligus.
Pada akhirnya, hanya satu yang cocok.
Dengan cara itu, hak eksekusi akun Binance 14 didelegasikan ke kontrak berbahaya milik penyerang.
2. Empat menit kemudian, sekitar 2,5 miliar dolar AS dipindahkan sekaligus.
Pukul 04.24, penyerang memanggil kontrak berbahaya untuk menjalankan operasi Sweep.
Dalam satu transaksi, dana berikut dipindahkan:
167.464 ETH
Sekitar 1,615 miliar dolar AS dalam USDT
Lebih dari 60 jenis token lainnya
Dengan nilai total sekitar 2,5 miliar dolar AS.
Yang lebih mengejutkan, 24 detik kemudian, hot wallet lain, Binance 16, juga mentransfer sekitar 28.005,6 ETH dan sejumlah besar aset lainnya ke alamat penyerang yang sama.
Transaksi ini juga merupakan transfer yang ditandatangani secara normal, bukan sekadar menyalin operasi otorisasi Binance 14.
Ini berarti penyerang mungkin dapat mengakses lebih dari satu wallet.
3. Yang paling absurd: setelah wallet diretas, sistem konsolidasi otomatis masih terus bekerja
Penyerang tidak berhenti menguras dana.
Karena dana deposit pengguna tetap dikonsolidasikan ke hot wallet melalui prosedur biasa, Binance 14 yang telah diberi otorisasi berbahaya terus menerima dana.
Investigasi on-chain juga mencatat adanya tambahan dana susulan sekitar 200 juta USDT.
72 detik kemudian, dana itu juga disapu oleh penyerang.
Inilah bagian paling mengkhawatirkan dari seluruh insiden ini:
Wallet sudah menunjukkan kejanggalan, tetapi mekanisme konsolidasi dana tidak segera dihentikan.
Ini bukan sekadar satu transaksi pencurian kripto, melainkan penyerang yang terus menguras dana dengan memanfaatkan sistem otomatis.
4. Berapa kerugian akibat insiden ini?
Awalnya, banyak orang hanya berfokus pada aliran dana di Ethereum.
Namun, investigasi lintas jaringan yang dilakukan TRM Labs dan Bitquery setelahnya menunjukkan bahwa cakupan serangan jauh melampaui Ethereum.
Menurut hasil investigasi yang tersedia untuk publik saat ini:
Aset senilai sekitar 6,3 miliar dolar AS keluar dari 17 hot wallet Binance.
Melibatkan 9 hingga 10 jaringan blockchain (angka berbeda sedikit bergantung pada metode penghitungan masing-masing lembaga).
Sekitar 18.270 BTC ditransfer keluar dari jaringan Bitcoin.
Sekitar 613 juta USDT ditransfer keluar dari jaringan TRON.
Sejumlah besar ETH, USDT, dan token lainnya juga dicuri dari Ethereum.
Jaringan XRP, Solana, Base, Optimism, Avalanche, dan lainnya juga terdampak.
Ini bukan lagi kasus satu wallet yang diretas, melainkan sejumlah jalur dana di bursa yang mengalami kejanggalan secara bersamaan.
5. Stablecoin dapat dibekukan, tetapi ETH tidak semudah itu
Ada hal khusus lainnya dalam insiden ini: penerbit stablecoin terpusat dapat membekukan aset terkait.
Tether membekukan aset terkait senilai sekitar 1,57 miliar dolar AS, Circle membekukan lebih dari 800 juta dolar AS, dan lembaga seperti Ripple serta World Liberty juga turut membekukan dana.
Binance kemudian mengungkapkan secara resmi bahwa mereka telah membekukan aset senilai sekitar 3 miliar dolar AS bersama para mitranya.
Namun, perlu diperhatikan:
Pembekuan tidak berarti aset sudah berhasil dipulihkan, apalagi semua aset yang terdampak sudah kembali ke Binance.
ETH tidak memiliki mekanisme daftar hitam penerbit seperti USDT, sehingga lembaga terpusat tidak dapat langsung membekukan akun di jaringan utama.
Menurut snapshot on-chain Bitquery setelahnya, penyerang masih memegang sekitar 508.600 ETH dan sekitar 18.270 BTC. Jumlah ETH ini mencakup sebagian aset curian yang ditukar untuk membeli ETH, bukan seluruhnya ditransfer langsung dari Binance.
6. Penjelasan awal resmi Binance berbeda dalam satu hal penting dari detail on-chain
Pada 30 Oktober, Binance merilis pengumuman tentang insiden keamanan:
Investigasi awal menduga serangan ini mungkin terkait dengan peretasan laptop seorang insinyur DevOps. Penyerang kemudian masuk ke kontainer layanan dan mengirimkan transaksi penarikan tanpa izin.
Binance menyatakan bahwa sejauh ini belum menemukan bukti kebocoran kunci privat wallet.
Binance juga berjanji untuk:
Menangguhkan layanan deposit dan penarikan terkait untuk melakukan pemeriksaan keamanan.
Mencabut otorisasi alamat yang terdampak.
Menanggung seluruh kerugian menggunakan dana SAFU dan dana perusahaan.
Mengumumkan bukti cadangan yang telah diperbarui nantinya.
Ada satu perbedaan yang sangat penting di sini:
Data on-chain dapat membuktikan bahwa transaksi ditandatangani secara sah, tetapi catatan transaksi saja tidak dapat membuktikan bagaimana tepatnya kunci privat digunakan.
Karena itu, tidak tepat jika langsung menyimpulkan bahwa kunci privat Binance telah bocor.
Hal yang lebih mungkin perlu diselidiki adalah titik mana yang kehilangan kendali keamanan di antara perangkat internal, kontainer layanan, persetujuan transaksi, dan infrastruktur penandatanganan.
Selain itu, TRM Labs mengaitkan serangan ini dengan kelompok peretas Korea Utara TraderTraitor dengan tingkat keyakinan tinggi. Namun, ini tetap merupakan atribusi dari lembaga keamanan pihak ketiga, bukan kesimpulan akhir yang diumumkan secara resmi oleh Binance.
7. Insiden ini menjadi peringatan bagi seluruh industri kripto
Menurut saya, hal yang paling patut direnungkan dari insiden ini bukanlah seberapa hebat peretasnya, melainkan apakah sistem keamanan bursa masih terpaku pada cara-cara lama.
Dulu, orang beranggapan:
Selama kunci privat tidak bocor, aset akan aman.
Namun, logika ini tidak lagi cukup.
Perangkat dapat diretas, layanan internal dapat dikendalikan, sistem penandatanganan dapat disalahgunakan, bahkan sistem konsolidasi otomatis bisa menjadi alat bantu peretas.
Ke depannya, bursa setidaknya perlu meninjau kembali beberapa hal:
Apakah otorisasi penandatanganan memiliki proses persetujuan berlapis yang independen?
Bisakah transfer dalam jumlah besar dicegah melalui deteksi anomali secara langsung?
Perlukah hot wallet dilengkapi mekanisme pemutus otomatis?
Jika wallet menunjukkan kejanggalan, bisakah konsolidasi dana deposit segera dihentikan?
Apakah hak akses antara jaringan dan wallet yang berbeda benar-benar dipisahkan?
Ada satu hal lain yang perlu diperhatikan:
EIP-7702 bukanlah kerentanan, dan AI juga bukan penyebab serangan ini yang sudah terbukti. Yang benar-benar perlu diwaspadai adalah penyerang semakin memanfaatkan teknologi kompleks untuk mencari titik lemah dalam sistem keamanan tradisional.
Sebagai penutup:
Industri kripto selalu berbicara tentang desentralisasi, kode sebagai hukum, dan kedaulatan atas aset.
Namun, bursa tetap bertanggung jawab menjaga aset ratusan juta penggunanya.
Ketika sebuah hot wallet diambil alih sementara sistem konsolidasi otomatis terus mengirimkan dana kepada peretas, ini bukan lagi sekadar masalah teknis.
6,3 miliar dolar AS menjadi pelajaran keamanan yang sangat mahal.
Dalam persaingan industri berikutnya, selain volume perdagangan, likuiditas, produk, dan jumlah pengguna, ada satu hal lain yang juga harus diperlombakan:
Siapa yang benar-benar mampu melindungi aset pengguna.
Semakin cepat kemajuan teknologi, semakin penting sistem keamanan untuk tidak tertinggal.
Insiden ini belum berakhir. Jawaban yang sebenarnya harus menunggu laporan investigasi teknis lengkap dari Binance.
Sumber utama yang dirujuk:
Binance resmi: Pembaruan Insiden Keamanan (30 Oktober) — Jalur awal peretasan, dampak senilai 6,3 miliar dolar AS, aset yang dibekukan, dan komitmen ganti rugi.
TRM Labs: Investigasi TraderTraitor Korea Utara dan serangan terhadap Binance — 50 otorisasi, serangan lintas jaringan, dan atribusi penyerang.
Bitquery: Investigasi on-chain atas serangan terhadap hot wallet Binance — 17 hot wallet, aliran dana, pembekuan, dan saldo penyerang.
Cointelegraph: Analisis EIP-7702 dan infrastruktur penandatanganan — 50 otorisasi serta perbedaan antara penyalahgunaan kunci privat dan kebocoran kunci privat.
CoinDesk: Analisis cadangan Binance dan aset hot wallet — Hubungan antara Binance 14 dan bukti cadangan.
Reuters: Laporan atribusi identitas penyerang oleh TRM — Atribusi kepada kelompok peretas Korea Utara.