• Dana keluar dari akun bursa milik korban dalam bentuk USDC dan USDT pada 1 November

• USDC hasil pencurian ditukar menjadi Ethereum melalui layanan instan WellWallet dan Kyrrex

• Layanan lintas rantai Wagyu mengonversi sebagian hasil curian menjadi Monero (XMR)

USDC ke Ethereum, Lalu Monero

Lebih dari $106 juta aset digital hasil pencurian kini menempuh jalur yang bermula dari kustodian bursa terpusat, melewati Ethereum, dan berakhir di Monero. Investigator on-chain ZachXBT melaporkan kasus ini pada 2 November: sebuah organisasi yang tidak disebutkan namanya di Uni Eropa kehilangan dana akibat penarikan tidak sah dari akun-akun miliknya di beberapa bursa terpusat sehari sebelumnya, pada 1 November, dalam bentuk stablecoin USDC dan USDT. Baik korban maupun platform yang terlibat belum disebutkan, dan belum ada pengumuman mengenai pemulihan dana. Perpindahan pertama yang terdokumentasi mengonversi USDC menjadi Ethereum (ETH), yang berarti stablecoin tersebut ditukar hampir seketika setelah keluar dari kustodian, lalu hasilnya dialirkan melalui layanan penukaran instan. WellWallet dan Kyrrex termasuk platform yang disebutkan dalam laporan tersebut. Setelah itu, dana terus bergerak: dana berpindah di antara beberapa blockchain, dan layanan lintas rantai bernama Wagyu digunakan untuk mengubah sebagian hasil curian menjadi Monero (XMR). Jalur Ethereum adalah satu-satunya bagian dari rute yang masih dapat dilacak sepenuhnya, karena setiap transfer di sana memiliki cap waktu dan alamat yang tercatat secara publik. Monero dibuat untuk tujuan sebaliknya: blockchain-nya menyembunyikan pengirim, penerima, dan jumlah setiap transfer. Itulah sebabnya dana curian sering dialihkan ke sana ketika jejaknya perlu dihilangkan. Kesenjangan transparansi inilah yang membuat kasus ini berbeda dari peretasan bursa pada umumnya, seperti yang ditunjukkan oleh ulasan kami tentang Etherscan dan pelacakan on-chain. Pilihan layanan penukaran instan berperan penting di tahap awal perpindahan dana, karena platform ini menukar aset dengan cepat tanpa penahanan penarikan dan pemeriksaan identitas yang diterapkan bursa besar terhadap permintaan baru bernilai delapan digit. Memecah saldo besar menjadi banyak tahap hanya membutuhkan biaya sedikit lebih besar daripada biaya gas rutin setiap kali.

ZachXBT menilai kemungkinan bahwa Lazarus Group, kelompok peretas yang terkait dengan Korea Utara, melakukan pencurian tersebut “sangat rendah”, dengan menelaah metode pencucian uangnya, bukan profil korbannya. Pernyataan ini muncul pada pekan yang dipenuhi pertanyaan tentang atribusi. Pada 29 Okt, Binance mengalami arus keluar yang dilaporkan mencapai sekitar $6,3 miliar, dan FBI mengeluarkan pernyataan resmi yang mengaitkan serangan itu dengan Korea Utara. Karena itulah, perbedaan antara kedua kasus ini penting: kelompok yang terkait dengan negara biasanya mengalirkan dana curian secara perlahan melalui instrumen yang memungkinkan mereka mencairkannya seiring waktu. Serangan terhadap platform kripto terjadi berturut-turut dalam periode yang sama. Mercado Bitcoin, bursa besar Brasil, menangguhkan deposit dan penarikan pada 2 Nov setelah mendeteksi insiden keamanan di salah satu sistemnya. Dalam pengumumannya, perusahaan itu menyatakan bahwa pelanggan tidak mengalami kerugian dan tidak ada data yang bocor; perusahaan keamanan blockchain Hypernative memperkirakan lebih dari $40 juta terkuras dari dompet yang terhubung dengan perusahaan tersebut. BTCPay Server, pemroses pembayaran Bitcoin gratis dan bersumber terbuka, pada 1 Nov mendesak para operator untuk menghentikan server pembayaran mereka menyusul laporan penarikan tanpa izin dari hot wallet instans yang dihosting sendiri. Karena proyek ini memang dirancang untuk dihosting sendiri, tingkat paparan tiap operator berbeda-beda. Tim tersebut memastikan bahwa serangan menargetkan server yang menjalankan versi sebelum 2.4.1, yang dirilis pada 23 Juli 2026, dan meminta siapa pun yang masih menggunakan versi lama untuk memindahkan seluruh saldo hot wallet yang tersisa ke tempat lain serta bermigrasi ke server terpisah dengan dompet baru. Hot wallet—baik di akun bursa, halaman pembayaran pemroses, maupun node operator—menjadi benang merah di antara insiden-insiden pekan ini.

Akun Kustodian, Bukan Kontrak

Ini bukan kegagalan kontrak pintar. Dana tersebut tersimpan di akun bursa kustodian dan keluar melalui penarikan. Yang menjadi dasar keputusan untuk mengesampingkan Lazarus adalah rancangan pencucian uangnya, bukan eksploitasi kode. Transparansi yang memungkinkan siapa pun mengamati seekor paus memasukkan $62,97 juta ke dalam 27.553 ETH selama lima jam, atau menandai penarikan 2.074 ETH dari Binance oleh dompet yang terkait dengan Kanye West, juga memungkinkan penyelidik menelusuri bagian rute ini di jaringan Ethereum, lompatan demi lompatan. Konversi Wagyu ke Monero adalah titik ketika visibilitas itu terputus, dan bagian yang tak terbaca itulah inti penyelidikan ini. Hingga laporan 2 Nov, posisi terakhir dana curian yang terdokumentasi adalah konversi lintas rantai melalui Wagyu ke Monero, tanpa catatan apa pun setelahnya.