Dini hari tadi, Binance kehilangan 5,5 hingga 5,9 miliar dolar AS—pencurian terbesar dalam sejarah kripto, hampir setara dengan empat kali insiden Bybit. Binance mengatakan akan menanggung seluruh kerugian dan dana pengguna aman, tetapi deposit dan penarikan masih dihentikan hingga sekarang.
Semua waktu di bawah ini menggunakan Waktu Beijing. Informasi diperbarui hingga pukul 09.45.
Pertama, begini cara pencuriannya. Pukul 04.20, peretas mengirim sebuah transaksi ke salah satu hot wallet Ethereum besar milik Binance, dengan menyisipkan 50 otorisasi.
Saat itu, wallet tersebut masih memproses penarikan seperti biasa. Peretas tidak bisa menebak nonce mana yang harus digunakan, jadi ia mengirimkan 50 sekaligus. Satu di antaranya berhasil. Sejak saat itu, kontrak miliknya mengambil alih wallet tersebut.
Beberapa menit kemudian, satu transaksi menyapu sekitar 2,5 miliar dolar AS. Dalam belasan menit berikutnya, dana dari 10 hot wallet Binance lainnya juga mengalir ke alamat yang sama.
Yang lebih parah, akses yang diambil alih itu tak kunjung dicabut. Menjelang pukul 6, peretas kembali menyapu lebih dari 200 juta dolar AS dana deposit yang baru masuk. Binance baru mencabut otorisasi tersebut setelah pukul 8.
Semua 50 otorisasi ini dilengkapi tanda tangan valid milik Binance sendiri. CEO perusahaan keamanan Blockaid menduga sementara bahwa sistem penandatanganan telah diretas. Kunci privatnya belum tentu bocor; modusnya mirip dengan insiden Bybit.
Binance belum mengumumkan penyebab pastinya. Di internet, sudah ada yang menduga pelakunya peretas Korea Utara, tetapi belum ada atribusi resmi apa pun. Untuk saat ini, saya belum akan mengambil kesimpulan.
Sekarang, kita lihat respons Binance. Peneliti blockchain sudah memberi peringatan pada pukul 4.30, tetapi Binance baru mengeluarkan pernyataan pertama pada pukul 5.15. Awalnya tertulis "belum dipastikan apakah dana pengguna terdampak", lalu beberapa belas menit kemudian diubah menjadi "dana pengguna sepenuhnya aman".
Lewat pukul 8 pagi, Binance menetapkan sikapnya: kerugian ditanggung sendiri, semua deposit dan penarikan dihentikan, dan hasil investigasi akan disampaikan setelah pemeriksaan selesai.
Pukul 9.23, He Yi mengatakan pemindaian keamanan masih berlangsung. Lewat pukul 9.30, Binance kembali menegaskan hal yang sama. Sampai sekarang, belum ada kabar kapan penarikan akan kembali dibuka.
Berapa banyak dana yang bisa dipulihkan? Penerbit stablecoin seperti Tether dan Circle bergerak cepat, bersama beberapa pihak lainnya. Binance mengatakan sekitar 3 miliar dolar AS sudah dibekukan. ZachXBT menghitung lebih dari 2,8 miliar dolar AS di blockchain—angkanya kurang lebih sama.
Sebagian besar dana yang tak bisa dibekukan adalah BTC dan ETH. Peretas juga menjual habis UNI, ENA, PEPE, dan aset kripto lain yang dimilikinya, lalu menukarnya dengan sekitar 70 ribu ETH.
Perkiraan kasar menunjukkan kerugian yang benar-benar tak bisa dipulihkan berkisar antara 2,5 hingga 2,9 miliar dolar AS. Pagi tadi, CZ mengatakan kerugiannya "mungkin sedikit di atas 1 miliar". Berdasarkan angka saat ini, selisihnya bukan cuma sedikit.
Di pasar, BTC turun lebih dari 4%, ETH turun lebih dari 5%, dan BNB turun sekitar 7%. ENA, yang dijual besar-besaran oleh peretas, anjlok lebih parah—belasan persen.
Dalam satu jam setelah berita itu muncul, posisi senilai lebih dari 600 juta dolar AS dilikuidasi di seluruh pasar, hampir semuanya posisi long.
Berikut pendapat pribadi saya.
Binance jelas mampu menanggung kerugian ini. Dengan aset kustodian senilai 144 miliar dolar AS, lubang ini kira-kira hanya 2%. Yang lebih saya khawatirkan adalah berapa lama deposit dan penarikan akan dihentikan.
Menurut saya, penarikan tidak akan segera dibuka kembali. Masalahnya ada di proses penandatanganan. Mengganti kunci saja tidak cukup; semua hot wallet dan seluruh proses penandatanganan harus diperiksa dengan tuntas sebelum penarikan dibuka lagi.
Ada satu angka lain yang perlu dipantau: ETH yang dicuri membuat rasio cadangan ETH Binance turun dari 100% menjadi sekitar 94%. Binance akan mengambil snapshot cadangan pada Minggu ini, jadi nanti akan terlihat apakah cadangannya sudah dipulihkan.
Jumlah ETH yang dimiliki peretas masih terus bertambah. Bagaimana ia akan menjualnya dan ke mana ia akan memindahkannya untuk dicuci menjadi faktor terbesar yang memengaruhi ETH dalam jangka pendek.
Satu pengingat lagi: saat seperti ini, penipuan yang menyamar sebagai layanan pelanggan dan tautan "kompensasi" palsu akan marak. Percayai hanya informasi dari kanal resmi Binance.
Semua hal di atas hanyalah pendapat pribadi dan bukan saran investasi.