Para penyerang di balik peretasan Binance yang diperkirakan menyebabkan kerugian sebesar $6,3 miliar masih menguasai mata uang kripto curian senilai miliaran dolar, meskipun para penerbit token berupaya membekukan hasil curian tersebut.

Serangan terbesar dalam sejarah kripto itu dimulai pada Kamis pukul 20.04 UTC, dan para pelakunya—yang dikaitkan dengan peretas Korea Utara yang sama di balik peretasan Bitget bulan lalu—langsung mulai mengonversi aset.

Rencana para peretas adalah mengonversi aset yang dapat dibekukan, seperti USDT dan USDC, menjadi aset yang tidak dapat dibekukan, seperti Bitcoin (BTC) dan Ether (ETH).

Insinyur CertiK Dickson Wu melacak USDT senilai $500 juta yang dikirim ke satu alamat, dengan $325 juta dijual kepada pembuat pasar untuk ditukar dengan ETH pada pukul 20:59 UTC, kurang dari satu jam setelah peretasan dimulai.

Mereka berpacu melawan beberapa pihak paling berpengaruh di dunia kripto: raksasa stablecoin seperti Tether dan Circle, yang sudah mulai memasukkan alamat terkait pencurian itu ke daftar hitam.

Binance mengatakan pada Jumat bahwa sekitar $3 miliar dari aset yang dicuri telah dibekukan secara onchain dari total perkiraan $6,3 miliar, dan bahwa mereka bekerja sama dengan penegak hukum, penerbit aset, serta perusahaan analitik blockchain untuk melacak dana tambahan.

Skala pencurian ini sulit dipercaya, bahkan menurut ukuran dunia kripto. Namun, dengan sekitar setengah aset sudah dibekukan, berapa banyak kripto hasil curian yang sebenarnya dapat dibelanjakan para pelaku?

Kripto dengan tombol pemutus

Berbeda dengan BTC atau ETH, yang merupakan mata uang kripto terdesentralisasi tanpa penerbit pusat dan tanpa pihak yang dapat menekan tombol jeda, stablecoin terpusat seperti USDT milik Tether dan USDC milik Circle memiliki penerbit yang dapat membekukan token di alamat tertentu.

Binance mengatakan bahwa mereka bekerja sama dengan penegak hukum untuk melacak dana tersebut. Sumber: Binance

Hal itu memberi mereka wewenang untuk bertindak cepat dalam insiden seperti ini. Tether membekukan total sekitar $1,567 miliar dalam USDT, dengan pembekuan besar pertama terjadi hanya 37 menit setelah dana curian mencapai dompet Ethereum utama penyerang.

Circle membekukan sekitar $823 juta dalam USDC tiga menit kemudian, disusul tak lama setelah itu oleh penerbit lain seperti Ripple dan World Liberty Financial.

Kemampuan untuk membekukan kripto bukan hanya fitur stablecoin. Meski tidak memiliki penerbit pusat, beberapa protokol terdesentralisasi seperti Arbitrum juga tidak tinggal diam.

Dewan Keamanan Arbitrum memindahkan sekitar $30,5 juta dalam ARB dan ETH ke dompet perantara yang dibekukan. Dana di sana hanya dapat dipindahkan setelah ada tindakan lebih lanjut dari dewan atau pemungutan suara oleh tata kelola Arbitrum DAO.

Satu perbedaan penting tetap ada — dana yang dibekukan tidak serta-merta berarti dana tersebut telah dipulihkan. Pembekuan aset mencegah para tersangka penyerang membelanjakannya, tetapi tidak otomatis mengembalikannya kepada Binance atau para penggunanya.

Komplikasi Aave

Protokol pinjaman terdesentralisasi Aave menambah satu lapisan kerumitan lagi. Antara pukul 20:58 dan 21:01 UTC, sebuah dompet yang terkait dengan para penyerang menyetorkan $60 juta dalam USDT ke Aave V3 di Ethereum dan meminjam $44,6 juta dalam wrapped Ether (WETH), sekitar 40 menit sebelum pembekuan pertama.

LlamaRisk, penyedia layanan manajemen risiko untuk Aave, mengatakan dalam pembaruan pukul 1.00 dini hari bahwa posisi penyerang kemudian memiliki sekitar $59,9 juta sebagai jaminan USDT untuk menutupi utang sebesar $43,8 juta. Aave mengatakan posisi tersebut tetap memiliki jaminan berlebih dan tidak membahayakan pemasok protokol.

Perampokan kripto terbesar sepanjang masa. Sumber: Elliptic

Karena USDT sudah disetorkan ke pool pinjaman Aave, memasukkan dompet penyerang ke daftar hitam tidak dapat secara otomatis mengambil kembali jaminan yang disimpan di protokol tersebut, seperti dijelaskan pendiri Aave Chan Initiative, Marc Zeller:

“USDT adalah uang sungguhan yang didukung oleh dolar, dan posisi tersebut merupakan tindak kejahatan, tetapi memiliki jaminan berlebih menurut protokol.”

Untuk mencegah penyetoran dan peminjaman lebih lanjut, Aave untuk sementara membekukan pasar di seluruh penerapan V3 dan V4-nya. Namun, pengguna yang sudah ada tetap dapat menarik dana, melunasi pinjaman, dan melikuidasi posisi.

Aave kemudian mencabut pembekuan pencegahan di seluruh pasar V3 dan V4, dengan mengatakan bahwa kontrak mereka tidak terdampak dan posisi tetap memiliki jaminan berlebih.

“Hari biasa lainnya di dunia kripto,” kata Zeller.

Jadi, aset apa yang sebenarnya dapat dipertahankan para penyerang?

Elliptic memperkirakan bahwa $2,84 miliar telah dibekukan pada pukul 7.00 UTC hari Jumat, sementara para penyerang masih mengendalikan aset senilai sekitar $3,33 miliar yang tidak dapat dibekukan oleh penerbit.

Meski pembekuan itu hampir memangkas separuh kumpulan keuntungan para penyerang, bukan berarti semua sisa dana aman untuk dipulihkan.

Bitcoin dan Ether tidak memiliki penerbit token terpusat yang dapat memasukkan alamat perorangan ke daftar hitam seperti Tether atau Circle. Jadi, setelah aset curian dikonversi menjadi mata uang kripto asli ini, transaksinya dapat dibatasi, tetapi membekukannya jauh lebih sulit.

Binance berjanji akan menanggung semua kerugian menggunakan Secure Asset Fund for Users (SAFU) dan dana perusahaan, serta mengatakan bahwa aset pengguna tetap aman. Menurut pembaruan terbaru dari CEO Binance Richard Teng, bursa tersebut sudah “memulihkan aset curian untuk para pengguna.”

Majalah: Oktober Kelam bagi Keamanan Siber: Cara melindungi diri