Dalam insiden keamanan Binance kali ini, menurut saya ada satu detail yang lebih layak dicermati daripada aset senilai puluhan miliar dolar yang dipindahkan.
Kunci privat belum terbukti bocor, tetapi penyerang tetap bisa memindahkan aset. Bagaimana hal itu bisa terjadi?
Sederhananya, insiden ini mungkin mengungkap masalah yang sering luput dari perhatian: celah keamanan terbesar sebuah bursa belum tentu ada di dompet, tetapi bisa jadi berada di luar dompet.
Menurut pengungkapan awal Binance, serangan mungkin bermula dari peretasan laptop seorang insinyur DevOps, lalu berdampak pada kontainer layanan internal dan proses penarikan.
Setelah itu, GCSA melakukan forensik on-chain dengan meninjau ulang 18 transaksi asli, 50 tanda tangan otorisasi awal EIP-7702, serta 1 tanda tangan pencabutan otorisasi.
Ada detail teknis yang patut diperhatikan di sini: satu transaksi Type-4 dapat memuat 50 otorisasi, tetapi bukan berarti semua 50 otorisasi itu berlaku. Tanda tangan yang valid juga tidak berarti kunci privat telah dicuri.
Laporan tersebut juga melacak tiga transaksi beruntun yang terkait dengan MetaMask Gas Station dan menemukan bahwa jumlah ETH yang diisi sebelumnya persis sesuai dengan anggaran Gas maksimum untuk dua transaksi berikutnya.
Adapun klaim bahwa penyerang keliru memilih USDT atau MetaMask mengetahui alamat IP asli, sejauh ini belum didukung bukti yang memadai.
TRM Labs mengaitkan insiden ini dengan tingkat keyakinan tinggi pada kelompok ancaman terkait Korea Utara, TraderTraitor. Namun, ini tidak berarti identitas penyerang dan rangkaian tindakan mereka telah terungkap sepenuhnya.
Saya selalu berpendapat bahwa keamanan bursa tidak boleh hanya berfokus pada dompet dingin, multisig, dan kunci privat.
Komputer karyawan, hak akses internal, lingkungan DevOps, layanan penandatanganan, persetujuan penarikan, bahkan infrastruktur pihak ketiga—jika salah satu saja dari titik ini gagal diamankan, sistem keamanan aset bisa menjadi tidak berarti.
Satu hal lagi: perkiraan dampak insiden sekitar 6,3 miliar dolar tidak sama dengan kerugian bersih akhir, dan pembekuan aset tidak sama dengan pemulihannya.
Hal yang benar-benar patut menjadi bahan renungan bagi seluruh industri dari insiden ini adalah: ketika penyerang tidak perlu mendapatkan kunci privat secara langsung, tetapi tetap bisa mengendalikan aset, batas keamanan bursa yang selama ini kita pahami mungkin sudah tidak lagi memadai.
Kunci privat belum terbukti bocor, tetapi penyerang tetap bisa memindahkan aset. Bagaimana hal itu bisa terjadi?
Sederhananya, insiden ini mungkin mengungkap masalah yang sering luput dari perhatian: celah keamanan terbesar sebuah bursa belum tentu ada di dompet, tetapi bisa jadi berada di luar dompet.
Menurut pengungkapan awal Binance, serangan mungkin bermula dari peretasan laptop seorang insinyur DevOps, lalu berdampak pada kontainer layanan internal dan proses penarikan.
Setelah itu, GCSA melakukan forensik on-chain dengan meninjau ulang 18 transaksi asli, 50 tanda tangan otorisasi awal EIP-7702, serta 1 tanda tangan pencabutan otorisasi.
Ada detail teknis yang patut diperhatikan di sini: satu transaksi Type-4 dapat memuat 50 otorisasi, tetapi bukan berarti semua 50 otorisasi itu berlaku. Tanda tangan yang valid juga tidak berarti kunci privat telah dicuri.
Laporan tersebut juga melacak tiga transaksi beruntun yang terkait dengan MetaMask Gas Station dan menemukan bahwa jumlah ETH yang diisi sebelumnya persis sesuai dengan anggaran Gas maksimum untuk dua transaksi berikutnya.
Adapun klaim bahwa penyerang keliru memilih USDT atau MetaMask mengetahui alamat IP asli, sejauh ini belum didukung bukti yang memadai.
TRM Labs mengaitkan insiden ini dengan tingkat keyakinan tinggi pada kelompok ancaman terkait Korea Utara, TraderTraitor. Namun, ini tidak berarti identitas penyerang dan rangkaian tindakan mereka telah terungkap sepenuhnya.
Saya selalu berpendapat bahwa keamanan bursa tidak boleh hanya berfokus pada dompet dingin, multisig, dan kunci privat.
Komputer karyawan, hak akses internal, lingkungan DevOps, layanan penandatanganan, persetujuan penarikan, bahkan infrastruktur pihak ketiga—jika salah satu saja dari titik ini gagal diamankan, sistem keamanan aset bisa menjadi tidak berarti.
Satu hal lagi: perkiraan dampak insiden sekitar 6,3 miliar dolar tidak sama dengan kerugian bersih akhir, dan pembekuan aset tidak sama dengan pemulihannya.
Hal yang benar-benar patut menjadi bahan renungan bagi seluruh industri dari insiden ini adalah: ketika penyerang tidak perlu mendapatkan kunci privat secara langsung, tetapi tetap bisa mengendalikan aset, batas keamanan bursa yang selama ini kita pahami mungkin sudah tidak lagi memadai.