Dari Mt. Gox ke Bitfinex, dari Bybit ke Bitget, titik masuk serangan terhadap bursa terus berkembang. Setelah mengalami pembobolan pada 2019, Binance kembali menghadapi pertanyaan yang sama: siapa yang akan menanggung kerugian?

Jika peristiwa pencurian di bursa selama lebih dari sepuluh tahun terakhir disusun dalam satu garis waktu, akan terlihat satu perubahan yang jelas:

Kerugian semakin besar, tetapi penyerang semakin jarang mencoba membobol dompet dingin secara langsung. Yang sebenarnya menjadi sasaran biasanya adalah dompet panas, kunci privat, proses penandatanganan, perangkat internal, serta koneksi antara bursa dan layanan pihak ketiga.

——

Dari dompet panas hingga kunci privat: titik masuk serangan paling awal

Pada Februari 2014, sekitar 850.000 bitcoin dilaporkan hilang dari Mt. Gox, dengan nilai sekitar 450 juta dolar AS berdasarkan harga saat itu. Aset tersebut tidak dipindahkan sekaligus, melainkan terus terkuras dalam jangka waktu yang panjang. Pengelolaan dompet panas yang buruk dan perlindungan kunci privat yang lemah akhirnya membuat bursa Bitcoin terbesar saat itu bangkrut.

Pada Agustus 2016, sebanyak 119.756 bitcoin dicuri dari Bitfinex, dengan nilai sekitar 72 juta dolar AS berdasarkan harga saat itu. Penyerang menembus proses kustodi multisig dan otorisasi bursa, lalu memulai transfer tanpa izin. Sebagian aset berhasil dipulihkan kemudian, tetapi pengguna tetap mengalami pembagian kerugian dan proses ganti rugi yang berlarut-larut.

Pada Januari 2018, sekitar 523 juta dolar AS dalam bentuk NEM dicuri dari bursa Jepang Coincheck. Sebagian besar aset disimpan di dompet panas yang terhubung ke internet dan tidak menggunakan tanda tangan ganda. Setelah kunci privat bocor, aset dipindahkan sekaligus, dan Coincheck akhirnya mengganti kerugian pengguna menggunakan dana perusahaan.

Kesamaan pada tahap ini sangat jelas:

Aset masih berada di bursa, tetapi kunci, dompet, dan proses otorisasi tidak benar-benar dipisahkan.

Pada Mei 2019, Binance sendiri pernah mengalami serangan besar. Peretas memindahkan 7.000 bitcoin dari dompet panas Binance, yang saat itu bernilai sekitar 40 juta dolar AS. Binance menyatakan bahwa penyerang memperoleh informasi seperti kunci API pengguna dan data autentikasi dua faktor melalui phishing, virus, dan cara lainnya, lalu melakukan penarikan secara terkoordinasi.

Kerugian dari insiden itu akhirnya ditanggung oleh dana SAFU, sehingga pengguna tidak mengalami kerugian langsung. Setelah menyelesaikan pemeriksaan keamanan, Binance kembali beroperasi. Insiden tersebut juga membentuk pola penanganan insiden keamanan: “platform yang membayar, pengguna tidak dirugikan”.

——

Dari pencurian kunci ke serangan terhadap proses

Setelah itu, penyerang mulai menghindari serangan terhadap satu dompet saja dan beralih menyerang proses operasional serta sistem hak akses bursa.

Pada September 2020, kunci privat dompet panas KuCoin bocor, menyebabkan kerugian sekitar 280 juta dolar AS. Pihak proyek, bursa, dan lembaga keamanan kemudian bersama-sama melacak dana. Sekitar 84% aset berhasil dipulihkan, sedangkan sisanya ditanggung oleh asuransi dan dana perusahaan.

Pada Desember 2021, BitMart mengalami serangan terhadap dompet panas dengan perkiraan kerugian sekitar 150 juta hingga 196 juta dolar AS. Informasi publik menunjukkan bahwa insiden ini terkait dengan kebocoran kunci privat dompet panas. BitMart kemudian berjanji menggunakan dana perusahaan dan asuransi untuk mengganti kerugian pengguna yang terdampak.

Pada 2023, aset CoinEx senilai sekitar 70 juta dolar AS dipindahkan. Banyak pihak meyakini insiden itu terkait dengan kebocoran kunci privat dompet panas. Pada tahun yang sama, aset Poloniex senilai sekitar 125 juta dolar AS dicuri. Penyerang memindahkan aset di beberapa jaringan, tetapi platform tersebut tidak mengungkapkan secara lengkap titik masuk serangan yang sebenarnya.

Metode serangan sedang berubah:

Dari “mendapatkan kunci privat” → “melewati hak akses” → “memalsukan transaksi”.

——

Perangkat lunak pihak ketiga juga menjadi titik masuk serangan

Dua insiden pada 2024 sudah lebih mendekati pola serangan masa kini.

Pada Mei, sekitar 4.502,9 bitcoin dicuri dari bursa Jepang DMM Bitcoin, dengan nilai sekitar 305 juta dolar AS berdasarkan harga saat itu. Pihak resmi tidak mengungkapkan secara lengkap metode awal penyusupan. FBI kemudian mengaitkan serangan tersebut dengan kelompok TraderTraitor yang memiliki hubungan dengan Korea Utara.

Pada Juli, aset WazirX senilai sekitar 235 juta dolar AS dicuri. Penyerang diduga memanfaatkan perbedaan antara antarmuka transaksi dompet multisig dan data tanda tangan untuk membujuk pihak terkait agar menyetujui transaksi berbahaya. Setelah itu, WazirX dan penyedia layanan kustodi Liminal berselisih mengenai siapa yang bertanggung jawab.

Pada Februari 2025, aset Bybit senilai sekitar 1,46 miliar hingga 1,5 miliar dolar AS dicuri, menjadikannya pencurian di bursa terbesar hingga saat itu.

Bybit menunjukkan satu hal:

Multisig bukan berarti sepenuhnya aman.

Penyerang tidak sekadar membobol kunci privat dompet dingin. Mereka memanfaatkan perbedaan tampilan transaksi dan data dalam proses penandatanganan untuk membujuk penanda tangan agar menyetujui transaksi berbahaya. FBI kemudian mengaitkannya dengan kelompok TraderTraitor yang memiliki hubungan dengan Korea Utara.

Dompet dingin tidak dibobol secara langsung, tetapi transaksi tetap disetujui. Karena itu, masalah keamanan bergeser dari “di mana aset disimpan” menjadi “siapa yang menyetujui transaksi dan apa yang mereka lihat”.

——

Bitget: Peringatan sebelum insiden Binance

Pada 24 September 2026 pukul 18:31 UTC, penyerang memulai transfer tanpa izin dari sejumlah dompet panas dan dompet hangat Bitget. Pada pukul 19:05 UTC, sistem rekonsiliasi dana Bitget mendeteksi aktivitas yang tidak biasa dan segera menghentikan seluruh penarikan di platform.

Bitget awalnya memperkirakan kerugian sekitar 351,6 juta dolar AS. Setelah transaksi on-chain di jaringan seperti Zcash dan TRON diklasifikasikan ulang, jumlah kerugian kemudian direvisi menjadi sekitar 387,5 juta dolar AS. Angka terverifikasi yang akhirnya tercantum di halaman resmi adalah sekitar 388 juta dolar AS.

Bitget mengungkapkan bahwa serangan terjadi karena penyerang memanfaatkan kerentanan zero-day pada produk keamanan pihak ketiga untuk mencuri kredensial akses jaringan internal. Mereka kemudian memalsukan instruksi penarikan, melewati sistem pengendalian risiko, dan langsung memasukkan perintah transfer ke sistem dompet.

Insiden ini tidak melibatkan dompet dingin, dan pihak resmi juga menyatakan bahwa kunci privat tidak berhasil dibobol. Saldo pengguna Bitget tidak terdampak. Kerugian ditanggung oleh dana perlindungan pengguna, sementara layanan penarikan dipulihkan secara bertahap sebelum 2 Oktober.

Sinyal yang ditinggalkan Bitget sangat jelas:

Bagian yang benar-benar berbahaya mungkin bukan dompet itu sendiri, melainkan perangkat lunak, perangkat, dan hak akses di baliknya.

——

Binance: Batas keamanan kembali ditembus

Pada dini hari 30 Oktober 2026, berdasarkan rekonstruksi informasi on-chain yang tersedia untuk publik, dompet panas Binance yang diberi label “Binance 14” mengalami otorisasi yang tidak biasa. Beberapa menit kemudian, berbagai aset di dalam dompet itu ditransfer keluar secara massal. Setelah itu, sejumlah dompet panas mengalami rangkaian transfer di berbagai jaringan.

Pagi itu, Binance menghentikan setoran dan penarikan, serta menyatakan bahwa dana pengguna aman dan perusahaan akan menanggung seluruh kerugian.

Penyelidikan awal yang diumumkan Binance menunjukkan bahwa insiden ini mungkin melibatkan laptop seorang engineer DevOps yang diretas. Penyerang memanfaatkannya untuk masuk ke kontainer layanan dan memulai transaksi penarikan tanpa izin.

Binance menyatakan bahwa sejauh ini belum ditemukan bukti kebocoran kunci privat dompet. Namun, penyelidikan lanjutan menemukan titik-titik lain yang berhasil ditembus. Karena itu, komputer karyawan hanya merupakan petunjuk awal, bukan penyebab akhirnya.

Terkait jumlahnya, Chainalysis memperkirakan aset yang dicuri sekitar 5,9 miliar dolar AS, sementara TRM Labs memperkirakan lebih dari 6 miliar dolar AS. Angka resmi yang disampaikan Binance saat ini adalah:

Dampak total insiden ini sekitar 6,3 miliar dolar AS.

Binance menyatakan bahwa aset senilai sekitar 3 miliar dolar AS telah dibekukan atau dilindungi. Binance juga telah menyisihkan dana perusahaan lebih dari 6,34 miliar dolar AS untuk menutupi dampak insiden ini, dengan sekitar 5 miliar dolar AS di antaranya dialokasikan dalam bentuk token terkait yang terdampak.

Dana ini adalah cadangan untuk ganti rugi, bukan jumlah baru yang dicuri, dan tidak boleh dijumlahkan langsung dengan 3 miliar dolar AS yang telah dibekukan.

Pernyataan CZ terutama berfokus pada tiga hal:

Dana pengguna aman; insiden ini tampaknya memang merupakan serangan peretas;

Binance tidak mengalami keruntuhan seperti FTX karena insiden ini lebih menyerupai insiden keamanan tunggal yang dapat ditanggung oleh neraca perusahaan;

Pemulihan aset telah dimulai. Binance dapat secara bertahap mengganti token yang terdampak melalui biaya perdagangan dan aktivitas pasar.

Hingga malam 30 Oktober 2026: aset senilai sekitar 6,3 miliar dolar AS terdampak, sekitar 3 miliar dolar AS telah dibekukan atau dilindungi, dan Binance telah menyiapkan dana perusahaan lebih dari 6,34 miliar dolar AS untuk menutupi kerugian. Namun, kerugian bersih akhir, jumlah yang benar-benar berhasil dipulihkan, dan jalur serangan secara lengkap masih belum dikonfirmasi.

Karena itu, insiden ini tidak bisa begitu saja ditafsirkan sebagai “Binance akhirnya rugi 6,3 miliar dolar AS”.

Pada 2019, Binance menggunakan dana SAFU untuk menanggung kerugian sekitar 40 juta dolar AS. Kali ini, skala insiden meningkat hingga 6,3 miliar dolar AS, dan titik masuk serangan juga meluas dari API pengguna dan dompet panas hingga perangkat internal, perangkat lunak pihak ketiga, dan hak akses sistem belakang.

Dari Mt. Gox ke Bitget, lalu Binance, keamanan bursa kini tak lagi hanya soal perbedaan antara dompet dingin dan dompet panas.

Pertanyaan utama yang harus dijawab dari insiden ini bukan hanya apakah Binance punya uang untuk mengganti kerugian.

Ketika batas keamanan bursa berulang kali ditembus, siapa yang akhirnya menanggung kerugian: platform atau pengguna?