Pada 29 Oktober 2026, seorang penyerang menguras sekitar $6,15 miliar dari Binance dalam 31 menit—salah satu pencurian terbesar dalam sejarah kripto, atau lebih tepatnya, dalam sejarah internet.
Binance awalnya memperkirakan kerugian sebesar $6,3 miliar; penelusuran transaksi demi transaksi oleh perusahaan analitik blockchain BitOK memperkirakan jumlahnya mencapai $6,15 miliar di sembilan blockchain.
Penyerang itu tidak pernah mencuri kunci privat Binance. Sebaliknya, mereka membuat sistem Binance sendiri menyetujui pencurian tersebut. Panduan ini menguraikan perampokan itu secara berurutan dan menjelaskan setiap istilah teknis di sepanjang pembahasan. Semua waktu menggunakan UTC.
Dasar-Dasar: Cara Bursa Memindahkan Uang
Dompet panas adalah dompet daring milik bursa, yang tetap terhubung agar penarikan dapat diproses dengan cepat.
Penandatanganan. Setiap transfer harus disetujui menggunakan kunci privat dompet, yaitu sebuah angka rahasia. Bursa menggunakan sistem otomatis untuk menandatangani ribuan pembayaran setiap hari.
Nonce adalah penghitung transaksi pada dompet Ethereum. Nonce dompet yang sibuk terus meningkat.
Koin yang dapat dibekukan. Penerbit stablecoin seperti Tether (USDT) dan Circle (USDC) dapat membekukan alamat. Tak seorang pun dapat membekukan koin asli seperti BTC, ETH, atau TRX.
28 Oktober: Persiapan Sebelum Peretasan
Setiap transaksi blockchain dikenai biaya kecil. Untuk mengisi dana dompet tanpa meninggalkan jejak, penyerang menggunakan Tornado Cash, sebuah “pencampur” yang mengumpulkan koin dari banyak pengguna agar penarikan tidak dapat dikaitkan dengan deposit.
Enam penarikan dari Tornado Cash mendanai dompet operator dan dua orang pembantunya.
29 Oktober, 02:28–16:47 UTC: Dua Kali Latihan
Sebelum menyasar Binance, penyerang berlatih menggunakan dompet mereka sendiri, seperti pencuri yang mungkin lebih dulu mencoba alat pembuka kunci di pintu rumahnya sendiri.
Alat yang digunakan adalah kontrak pintar: program yang berada di Ethereum dan melakukan persis seperti yang diperintahkan kodenya. Program ini dirancang untuk menguras dompet mana pun yang memberinya izin untuk bertindak atas nama dompet tersebut. (Fitur EIP-7702 Ethereum memungkinkan jenis izin seperti itu; penjelasan lebih lanjut ada di bawah.)
02:28 — penyerang menerbitkan versi uji coba program penguras dana.
13:51–14:24 — latihan pertama. Mereka memasukkan sejumlah kecil USDT dan USDC ke dua dompet milik mereka sendiri, memberi program uji coba itu izin untuk mengaksesnya, lalu menjalankannya. Kedua dompet terkuras. Alat itu berfungsi.
15:59 — mereka menerbitkan versi final, yang kemudian digunakan untuk menyerang Binance.
16:20–16:47 — latihan kedua, mengulangi uji coba dengan versi final.
Versi final memiliki satu kemampuan tambahan: program itu dapat membuat dompet melakukan apa saja, bukan sekadar mengirim token. Malam itu, kemampuan ini membuatnya dapat memerintahkan dompet Binance untuk mengeluarkan 823 juta USDC. Alat yang dirancang khusus seperti ini mengisyaratkan bahwa penyerang sudah mengetahui cara dompet Binance dikonfigurasi.
“Perbedaan antara kedua versi itu sangat penting. Kontrak utama menyertakan fungsi yang dapat menjalankan panggilan arbitrer atas nama dompet yang telah mendelegasikan kendali kepadanya. Penyerang kemudian menggunakan fungsi itu untuk menguras 823 juta USDC dari dompet pintar Binance,” jelas BitOK.
29 Oktober, 20:04 UTC: Pengurasan Selama 31 Menit
Dari 20:04:52 hingga 20:35:53, penyerang menguras dompet panas Binance di XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum, dan Avalanche. Hasil jarahannya meliputi:
18,270.2 BTC,
197,540 ETH,
2.49 miliar USDT,
823 juta USDC,
233.46 juta XRP,
970,522 SOL dan puluhan token lainnya.
Setiap transfer ditandatangani oleh dompet Binance sendiri. BitOK mengenalinya dari pola yang digunakan: biaya 2 hingga 2.7 kali lebih tinggi daripada biasanya, format transaksi yang tidak digunakan perangkat lunak pembayaran Binance, dan, di Ethereum, transaksi palsu yang disisipkan di antara pembayaran pelanggan yang asli.
Penyerang membobol laptop seorang insinyur DevOps, lalu menggunakan kontainer layanan (program terkemas yang berjalan di dalam sistem Binance) untuk mengirimkan perintah penarikan palsu.
Ini langkah paling cerdik malam itu. Sasarannya adalah dompet panas Ethereum yang sibuk bernama Binance 14.
Rencananya. Dengan EIP-7702, dompet dapat menandatangani surat izin yang disebut otorisasi, yang memungkinkan kontrak pintar bertindak atas namanya. Jika Binance 14 menandatangani otorisasi yang menyebut kontrak milik penyerang, penyerang akan menguasai dompet itu.
Masalahnya. Surat izin hanya berlaku jika memuat nomor transaksi terkini dompet tersebut, yaitu nonce-nya. Binance 14 terus-menerus melakukan pembayaran kepada pelanggan, sehingga nomornya terus berubah. Surat izin dengan nomor yang salah akan diabaikan begitu saja.
Triknya. Pada 20:20:59, penyerang membuat sistem penandatanganan Binance menandatangani 50 surat izin sekaligus, masing-masing dengan nomor berbeda. Bayangkan mencoba 50 kunci pada sebuah gembok di saat yang sama: hanya satu yang perlu cocok. Dan satu kunci memang cocok. Kini Binance 14 menerima perintah dari kontrak milik penyerang, tetapi tetap beroperasi normal, sehingga uang terus mengalir masuk.
Hasilnya. Beberapa menit kemudian, satu transaksi menguras 65 token berbeda senilai lebih dari $2.2 miliar, termasuk 1.615 miliar USDT dan 167,464 ETH. Pada 20:41 dan 20:59, kontrak itu juga membuat dompet Binance lainnya mengirimkan 823 juta USDC.
Binance 16. Dompet panas kedua dibobol dengan cara yang lebih sederhana. Sistem Binance diberi sembilan transaksi palsu, lalu menandatangani dan mengirimkannya bersama pembayaran pelanggan yang asli. Transaksi itu membawa 28,005.6 ETH dan 55.7 juta USDT.
Di Ethereum, 500 juta USDT keluar dari alamat penerima utama dalam enam menit. Antara 20:34 dan 21:09, penyerang menukar 435 juta USDT menjadi ETH di Uniswap, bursa terdesentralisasi yang dijalankan oleh kode. Mereka juga menyetor 60 juta USDT ke Aave, protokol pinjaman, lalu meminjam 19,762 ETH dengan jaminan tersebut, sehingga agunan yang dapat dibekukan tetap berada di sana.
Di Tron, 612.7 juta USDT keluar dari dompet Binance-Hot 7. Dalam 16 kali penukaran di SunSwap, bursa terdesentralisasi utama Tron, penyerang menukar 234 juta USDT menjadi 638.2 juta TRX.
Untuk membekukan USDT, Tether memerlukan tiga persetujuan dari dompet multisignature-nya, sebuah sistem yang membutuhkan beberapa tanda tangan persetujuan. Setiap pembekuan memakan waktu hingga 2 menit 36 detik, dan permintaan yang tertunda terlihat di blockchain. Penyerang bisa melihat pembekuan akan dilakukan dan bergerak lebih dulu: satu dompet memindahkan 130 juta USDT hanya 48 detik sebelum dibekukan. Namun, di satu alamat penyerang ragu-ragu dan kehilangan hampir 175 juta USDT.
Seluruh 823 juta USDC masih berada di satu alamat dan dibekukan dalam satu transaksi.
Dibekukan oleh Tether dan CircleJumlahEthereum USDT$1.38 miliarEthereum USDC$823 jutaTron USDT$378.7 jutaAvalanche USDt$8.4 jutaTotal$2.59 miliar
Penerbit lain membekukan USD1, XAUt, PAXG, wBETH, dan FDUSD, sementara penerbit BEAM membakar 984 juta token curian. Dewan Keamanan Arbitrum, badan darurat beranggotakan 12 orang, menyita 8,426 ETH dan 74.56 juta ARB.
Secara total, sekitar $2.79 miliar dibekukan, dibakar, atau disita. Namun, 669 juta USDT sudah telanjur ditukar menjadi ETH dan TRX.
21:43–00:10 UTC: Dompet yang Terus Dibobol
Binance 14 masih berada di bawah kendali penyerang.
21:43:59 — pengisian saldo rutin Binance mengirimkan 200 juta USDT ke Binance 14. Dua belas detik kemudian, kontrak itu menyapunya. USDT masuk ke alamat yang sudah dibekukan, tetapi hampir 370 ETH berhasil lolos.
22:39 — penyapuan lain mengambil 128.49 ETH.
23:56 — 2,961.91 ETH disapu satu menit setelah tiba.
00:10:35, 30 Oktober — Binance akhirnya membatalkan pengalihan tersebut.
Penyerang menguasai dompet itu selama hampir empat jam.
Ke Mana 18,270 BTC Pergi
Pada 20:20:06, 11 transaksi memindahkan 18,270.2 BTC dari dompet panas Binance dengan membayar biaya dua kali lipat dari biasanya. Koin-koin itu dibagi ke 19 alamat, 17 di antaranya masing-masing menyimpan 1,000 BTC. Hingga 30 Oktober, tak satu pun dipindahkan. Catatan publik Bitcoin membuatnya tetap dapat dilacak, tetapi tak seorang pun dapat membekukannya.
Temuan terbesar BitOK: dana Binance yang dicuri sampai ke alamat Ethereum yang sama, yang sebelumnya sudah menerima hasil peretasan Bitget pada September 2026.
Penyerang memindahkan TRX dan USDT melalui THORChain, protokol yang menukar koin lintas blockchain, lalu menerima ETH di 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Alamat itu sebelumnya sudah menerima ETH yang dilacak ke peretasan Bitget. ETH tersebut berasal dari alamat Bitcoin yang tercantum dalam daftar dompet penyerang yang dipublikasikan Bitget, aktif sejak 23 Oktober, dan awalnya berupa ZEC, koin yang tidak pernah dicuri dari Binance.
Pada pukul 06:20, alamat itu telah menerima delapan pembayaran terkait Bitget (349.46 ETH) dan lima pembayaran terkait Binance (13.63 ETH), lalu mengirimkan dana campuran tersebut ke dompet baru. Kesamaan alamat saja tidak mengungkap siapa yang berada di balik kedua peretasan itu.
Kedua serangan melibatkan pembobolan sistem internal tanpa mencuri kunci privat, dan Bitget menyalahkan Korea Utara atas peretasannya. BitOK juga mencatat ciri-ciri yang dikaitkannya dengan kelompok Korea Utara: latihan, pendanaan melalui Tornado Cash, penukaran instan dari token yang dapat dibekukan, serta persiapan selama jam kerja UTC+9.
“Alamat pencucian dana bersama yang baru diidentifikasi merupakan bukti tumpang tindih operasional yang lebih kuat daripada sekadar kesamaan taktik. BitOK menilai bahwa kedua pencurian tersebut mungkin terkait dengan kelompok Korea Utara yang sama dan bahwa satu operator mengendalikan aliran pencucian dana yang teramati. Ini tetap merupakan atribusi analitis, bukan bukti identitas di dunia nyata dari setiap pihak yang terlibat,” kata BitOK.
Tanggapan Binance
Binance menghentikan sementara penarikan dari dompet panas Bitcoin dan Tron sekitar pukul 20:36, sementara deposit tetap berlanjut. Binance berjanji menanggung semua kerugian pelanggan dari dana darurat SAFU dan sumber dayanya sendiri.
Saya ingin berbicara langsung kepada Anda tentang apa yang terjadi.Intinya – uang Anda aman, dan kami menanggung setiap kerugian.Investigasi awal kami menunjukkan bahwa insiden keamanan ini mungkin bermula dari laptop seorang insinyur DevOps yang disusupi. Hal itu memberi penyerang akses ke…
— Richard Teng (@_RichardTeng) 30 Oktober 2026
Menurut Coinglass, posisi dengan leverage senilai $1.58 miliar dilikuidasi dalam 24 jam di seluruh pasar.
Apa yang Kini Dikuasai Penyerang?
Hingga pukul 06:20 pada 30 Oktober, BitOK mengaitkan penyerang dengan:
197,460 ETH,
18,270.2 BTC,
233.46 juta XRP,
sekitar 970,500 SOL,
675.9 juta TRX,
dan 1.61 juta AVAX.
ETH, BTC, XRP, dan SOL saja bernilai sekitar $2.95 miliar.
Penyerang membajak sistem yang menandatangani penarikan Binance. BitOK membagikan pelajaran dari peretasan Binance untuk dipetik oleh industri kripto.
“Insiden Binance menunjukkan mengapa keamanan kunci privat saja tidak cukup. Bursa juga memerlukan kontrol atas otoritas penandatanganan, perlindungan terhadap instruksi penarikan yang mencurigakan, pencabutan izin yang disusupi dengan segera, serta pemantauan pergerakan aset secara berkelanjutan di berbagai jaringan.”