Pada 29 Oktober, seseorang menguras dompet hot Binance di sepuluh blockchain dalam satu malam.

TRM Labs memperkirakan totalnya mencapai $6.36B. Elliptic menyebut $6.43B. Bagaimanapun, ini adalah pencurian kripto terbesar yang pernah tercatat, kira-kira 4 kali lipat dari $1.5B milik Bybit pada Februari 2025.

Lima hari kemudian, Binance mengatakan telah mengganti 95% dana itu dari neracanya sendiri. Penarikan mulai dibuka kembali, dan FBI telah menyebut Korea Utara sebagai pihak yang bertanggung jawab.

Namun, ceritanya belum berakhir. Penyebab utamanya belum diumumkan, sekitar $3.2B masih tersimpan di dompet yang terkait dengan para penyerang, dan pencucian uang baru saja dimulai.

Berikut semua hal yang bisa saya verifikasi, secara berurutan: apa yang terjadi, bagaimana caranya, siapa pelakunya, perlombaan pembekuan, tanggapan Binance, posisi dana saat ini, dan kemungkinan yang akan terjadi selanjutnya.

Ringkasnya

→ Apa yang terjadi: sekitar $6.36B diambil dari dompet panas Binance pada 29 Okt, pukul 20:05–23:56 UTC, melalui 10 blockchain.

→ Bagaimana caranya: Binance menyebut laptop milik seorang insinyur DevOps yang disusupi, ditambah "titik kebocoran tambahan". Di Ethereum, penyerang menggunakan EIP-7702 dengan 50 otorisasi yang telah ditandatangani sebelumnya.

→ Siapa: FBI mengaitkannya dengan TraderTraitor dari Korea Utara. Korea Utara membantahnya.

→ Dibekukan: sekitar $2.85B dibekukan atau disita, sebagian besar berupa USDT dan USDC. Sekitar $786M stablecoin ditukar sebelum pembekuan dilakukan.

→ Binance: $6.34B disisihkan, 95% tercakup, SAFU mengeluarkan 7,499 BTC, snapshot Proof of Reserves dilengkapi bukti zk. Penarikan dibuka kembali pada 1 Nov dan 3 Nov.

→ Pengguna: arus keluar bersih sebesar $3.64B dalam sembilan jam pertama. CZ mengatakan 98% pengguna tetap bertahan dan setoran kini melebihi penarikan.

→ Masih belum tuntas: belum ada laporan pascainsiden, 5% token masih dibeli, SAFU belum diisi kembali, sekitar $3.24B masih berada di dompet penyerang.

Kronologi peretasan Binance. Sumber: TRM Labs, Elliptic, Binance, FBI, CNBC

1. Apa yang terjadi, menit demi menit

★ Pencurian dimulai pada 29 Oktober pukul 20:05 UTC di XRP Ledger dan terjadi dalam beberapa gelombang hingga pukul 23:56 UTC.

→ 20:05–20:09: 233.46M XRP (sekitar $296M) keluar dari lima dompet Binance.

→ 20:20: sebuah dompet panas Bitcoin mengirim 18,270 BTC (sekitar $1.47B), yang dibagi ke 19 alamat dalam waktu setengah jam. Dana tersebut belum bergerak sejak itu.

→ 20:20: di Ethereum, satu transaksi membawa 50 otorisasi. Sekitar tiga menit kemudian, seluruh saldo dompet itu keluar: 167,464 ETH dan 63 token, termasuk 1.615B USDT.

→ 23:05: gelombang kedua menghantam Avalanche dan Polygon. 23:56: penyapuan terakhir di Ethereum.

★ Menurut blockchain, berdasarkan TRM: Ethereum $3.79B, Bitcoin $1.47B, Tron $628M, XRP Ledger $296M, Solana $96M, Arbitrum/Optimism/Base $39M, Avalanche $28M, Polygon $10M.

→ Menurut Elliptic, 54% dari total dana ($3.46B) berupa stablecoin. Satu hal itu menentukan apa yang terjadi dalam empat jam berikutnya.

Gambaran grafik TRM Labs tentang pencurian pada 29 Okt

2. Bagaimana serangan ini dilakukan

★ Penjelasan pertama Binance muncul pada 30 Okt pukul 02:25 UTC. Laptop milik seorang insinyur DevOps yang disusupi memungkinkan penyerang mengakses kontainer layanan dan "mengirim transaksi penarikan tanpa otorisasi".

→ Sekitar enam jam kemudian, Binance mengatakan penyelidikannya telah "menemukan titik kebocoran tambahan".

→ Binance juga mengatakan tidak menemukan bukti bahwa kunci privat dompet telah bocor.

★ Rekonstruksi on-chain TRM menunjukkan bagaimana akses tersebut digunakan:

→ 28 Okt: dompet operator diisi dana dari tiga penarikan kecil Tornado Cash.

→ 29 Okt: penyerang menguji kodenya pada dua dompet, berlatih pada dompet ketiga, lalu memasangnya di dompet panas Binance.

→ Di Ethereum, penyerang menggunakan EIP-7702, yang memungkinkan dompet biasa menyerahkan logikanya kepada kontrak pintar. Dompet panas menandatangani 50 otorisasi yang mengarah ke kontrak penyapu dana yang dikendalikan penyerang. Setiap otorisasi menggunakan nonce berurutan, sehingga setidaknya satu pasti valid.

→ Delegasi tetap aktif, sehingga penyerang terus menyapu dana pada pukul 20:41, 20:59, 21:04, 21:44, 22:39, dan 23:56 UTC.

→ Di blockchain lain, dana keluar melalui transfer biasa yang ditandatangani.

★ Menurut saya: ini tidak tampak seperti kunci yang dicuri. Tampaknya penyerang membuat sistem penandatanganan milik Binance sendiri menandatangani transaksi untuknya. TRM sampai pada kesimpulan yang sama, tetapi Binance belum memublikasikan akar penyebabnya.

3. Siapa pelakunya

★ Pada 31 Okt, FBI menyatakan Korea Utara bertanggung jawab dan menyebut aktivitas tersebut "TraderTraitor". FBI memublikasikan lebih dari 600 alamat penyerang di Ethereum, Bitcoin, dan Solana.

→ FBI meminta operator THORNode, penyedia RPC, layanan swap instan, dan aplikasi DeFi untuk memblokir transaksi yang terkait dengan alamat-alamat tersebut.

→ TRM dan Chainalysis sebelumnya telah menunjuk TraderTraitor. Polanya sama seperti Bybit (Feb 2025) dan KelpDAO (Apr 2026): pendanaan kecil melalui Tornado Cash, persiapan jauh-jauh hari, dan tanda tangan yang sudah dikumpulkan sebelumnya dieksekusi sekaligus.

→ Pada 3 Nov, Kim Yo Jong membantah keterlibatan apa pun melalui media pemerintah dan menyebut tuduhan itu sebagai "provokasi politik serius".

Peringatan Siber FBI, 31 Okt 2026

4. Perlombaan pembekuan

★ Stablecoin bisa dibekukan. $BTC dan $ETH tidak bisa. Jadi, tugas pertama penyerang adalah menukar stablecoin sebelum penerbitnya bereaksi.

→ Tether membekukan USDT yang dicuri di Ethereum 37 menit setelah dana itu tiba. Sebelumnya, sekitar 434M USDT ditukar menjadi ETH di DEX seperti Uniswap, dan 19,762 ETH dipinjam di Aave dengan jaminan 59.9M USDT.

→ Di Tron, 234M USDT ditukar menjadi TRX di SunSwap sebelum pembekuan.

→ Circle membekukan seluruh 823M USDC yang dicuri sebelum sempat ditukar.

→ Ripple membekukan 40.5M RLUSD dan World Liberty membekukan 27.8M USD1. Dewan Keamanan Arbitrum membekukan 8,426 ETH dan 74.6M ARB.

★ Hasil akhirnya, menurut Elliptic: sekitar $2.85B dibekukan atau disita, dan sekitar $786M stablecoin ditukar sebelum pembekuan dilakukan.

→ Menurut saya: pembekuan berhasil menyelamatkan sebagian besar stablecoin. Namun, pembekuan juga menunjukkan besarnya kuasa segelintir penerbit atas uang "on-chain", dan kuasa itu bisa berdampak baik maupun buruk.

5. Tanggapan Binance

★ Pengendalian: penarikan dihentikan sementara, otorisasi yang terdampak dicabut. Setoran tetap dibuka.

★ Dana: pada 30 Okt, Binance menyisihkan $6.34B dari dana perusahaan, dan $5B di antaranya sudah berupa token yang persis sama dengan yang dicuri.

→ Cakupan meningkat dari sekitar 80% (30 Okt) menjadi 90% (31 Okt), lalu 95% (1 Nov). Sisa 5% berupa token yang lebih kecil dan masih dibeli Binance melalui pasar dan kanal OTC.

→ Dana tersebut berasal dari SAFU, Dana Asuransi Futures, cadangan BTC, dan kas perusahaan.

→ Alamat bitcoin SAFU mengirim 7,499 BTC pada 31 Okt pukul 14:51 UTC. Kini alamat itu menyimpan 7,500 BTC, setengah dari jumlah sebelumnya. Binance mengatakan akan mengisi kembali SAFU hingga sekitar $1B.

→ CZ: "Binance tidak meminjam uang. Binance tidak menjual aset. Binance tidak menggalang dana."

Pembaruan Pemulihan Binance #3, 31 Okt

Riwayat saldo alamat BTC SAFU, mempool.space

★ Verifikasi: snapshot Proof of Reserves yang baru diambil pada 31 Okt pukul 00:00 UTC. Bukti zk-nya selesai dibuat pada 2 Nov.

→ Pemegang 10 token teratas (BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC) kini dapat memeriksa sendiri bahwa saldo mereka dijamin setidaknya 1:1.

→ Snapshot berikutnya, yang mencakup lebih banyak token, direncanakan pada 4 Nov.

★ Penarikan: tahap pertama dibuka kembali pada 1 Nov antara pukul 06:00 dan 09:00 UTC, dengan prioritas berdasarkan permintaan pengguna pada minggu sebelumnya. Tahap kedua dimulai pada 3 Nov pukul 04:00 UTC.

6. Reaksi pasar dan pengguna

★ Harga: di Binance, BTC turun dari $80,864 ke $76,500 (-5.4%) dalam tujuh jam berikutnya. ETH turun 6.8%, dan $BNB turun 8.7% ke $680 dalam satu jam pertama.

→ Sekitar $1.5B posisi dilikuidasi dalam 24 jam, sebagian besar posisi long, menurut data CoinGlass.

→ BNB masih belum pulih: kini sekitar $696, dibandingkan sekitar $744 sebelum peretasan.

BNB/USDT 1 jam di Binance, 28 Okt – 3 Nov (TradingView)

★ Arus dana: setelah penarikan dibuka kembali, pengguna menarik $4.65B dan menyetor $1.01B dalam sembilan jam. Artinya, arus keluar bersih mencapai $3.64B, menurut CNBC.

→ DefiLlama menunjukkan aset Binance sebesar $144.9B pada 29 Okt, $133.2B sehari kemudian, dan $124.8B pada 3 Nov, kini kembali ke sekitar $128B. Sebagiannya dipengaruhi harga, bukan hanya penarikan.

→ CZ mengatakan 98% "memilih untuk tetap tinggal". Pada 3 Nov, ia mengatakan setoran per jam kini melebihi penarikan, dan hanya 6–10% penarikan yang masuk ke bursa lain.

Total aset Binance, DefiLlama

→ Menurut saya: tidak terjadi penarikan besar-besaran dari bursa. Sekitar 3% aset keluar, lebih sedikit dari perkiraan saya setelah peretasan terbesar sepanjang masa.

7. Posisi dana saat ini

★ Elliptic menghitung sekitar 12,000 dompet, 11 blockchain, dan lebih dari 40,000 transaksi dalam waktu kurang dari empat hari. Artinya, kira-kira ada satu dompet baru setiap 25 detik, jadi jelas aktivitas ini berjalan secara otomatis.

→ Sekitar $3.24B masih berada di alamat yang terkait dengan penyerang, sebagian besar dalam bentuk ETH dan BTC. Jumlah yang berhasil dicairkan sangat kecil.

→ Tron menjadi jalur utama. Sebanyak 684.6M TRX menyebar dari satu dompet distribusi ke sekitar 7,700 alamat, lalu melewati enam jembatan. Sedikitnya $147M berpindah dari Tron ke Ethereum.

→ Pada 31 Okt, penyerang menambahkan jalur baru: menukar dana menjadi USDD, yang mengklaim tidak bisa dibekukan, serta memindahkannya melalui vault JustLend.

→ Sejak 1 Nov, ETH, SOL, NEAR, dan XRP mulai bergerak. Sekitar 28 BTC melewati coinjoin, tanda pertama adanya pencampuran dana.

→ Satu insiden memperlambat pergerakan dana. Reorganisasi Ethereum menyebabkan pengembalian dana ganda pada setoran THORChain dan memaksa THORChain melakukan penghentian darurat, menurut Chainalysis.

Tahapan pencucian uang, 29 Okt – 2 Nov (Elliptic)

★ Proses ini lebih lambat daripada Bybit, ketika seluruh ETH yang dicuri berpindah dalam 10 hari. Elliptic memperkirakan dana akan ditukar secara bertahap menjadi BTC dan dicairkan melalui pialang OTC selama beberapa bulan.

8. Apakah masalahnya sudah selesai?

★ Bagi pengguna Binance, sebagian besar sudah. Bagi industri, belum.

→ Sudah selesai: 10 token teratas dijamin 1:1 dan bisa diverifikasi, 95% dana telah tercakup, penarikan dibuka kembali, dan setoran melebihi penarikan.

→ Belum selesai:

  • akar penyebab atau laporan pascainsiden belum dipublikasikan

  • sisa 5% token

  • pengisian kembali SAFU, yang belum memiliki tanggal

  • sekitar $3.24B masih di tangan penyerang

  • apakah USDT dan USDC yang dibekukan akan diterbitkan kembali kepada Binance

→ Regulator: Dinas Rahasia AS mengatakan sedang berupaya melacak dan membekukan dana tersebut. FCA Inggris mengatakan Binance tidak terdaftar di sana dan pihaknya sedang menilai dampak yang mungkin terjadi.

9. Apa yang bisa mencegahnya, dan apa yang perlu diubah

★ Untuk bursa:

→ Pantau delegasi EIP-7702 pada dompet treasury secara real time dan beri peringatan untuk setiap delegasi (TRM).

→ Tolak otorisasi 7702 yang tidak terduga. Permintaan banyak otorisasi dengan nonce berurutan harus dianggap sebagai indikasi kompromi.

→ Lindungi sistem yang dapat meminta tanda tangan, bukan hanya kuncinya. Penanda tangan akan menandatangani apa pun yang masuk melalui jalur permintaan yang telah disusupi.

→ Pisahkan jalur penandatanganan berdasarkan blockchain dan tingkatan dompet, agar satu kebocoran tidak bisa menguras sepuluh blockchain dalam satu malam.

→ Batasi saldo dompet panas dan tambahkan pemutus otomatis. Dalam kasus ini, arus keluar baru berhenti setelah penarikan dihentikan sementara, sekitar empat jam setelah transfer pertama.

→ Amankan perangkat pengembang:

  • pisahkan pekerjaan pengembangan sehari-hari dari akses admin dan akses penandatanganan

  • gunakan kredensial berumur pendek

  • buka "tes pemrograman" yang tidak diminta hanya di lingkungan terisolasi; tes kerja palsu adalah umpan TraderTraitor yang sudah dikenal

★ Untuk pengguna:

→ Saldo di bursa adalah janji pembayaran. Kali ini, janji itu dipenuhi sepenuhnya. Jangan berasumsi akan selalu begitu.

→ Cocokkan saldo Anda sendiri dengan Proof of Reserves, dan simpan aset jangka panjang dalam kustodi mandiri.

→ Gunakan hanya kanal resmi. Serangan phishing meningkat setelah setiap peretasan.

10. Skenario selanjutnya

★ Skenario dasar: Binance menyelesaikan sisa 5%, menerbitkan laporan pascainsiden, dan mengisi kembali SAFU. Penyerang mencuci dana secara perlahan menjadi BTC melalui meja OTC selama beberapa bulan, dan sebagian dana yang dibekukan akhirnya dikembalikan.

★ Skenario lebih baik: lebih banyak dari sekitar $3.24B dibekukan saat dana menyentuh bursa, meja OTC, dan jembatan yang menggunakan daftar FBI. Laporan pascainsiden menunjukkan kegagalan yang terbatas dan bisa diperbaiki.

★ Skenario lebih buruk: laporan pascainsiden mengungkap masalah yang lebih serius, regulator mengambil tindakan berdasarkan insiden ini, arus keluar kembali meningkat, atau pola serangan yang sama menimpa bursa lain.

→ Di seluruh industri, nantikan pengawasan terhadap EIP-7702, batas dompet panas yang lebih ketat, dan perdebatan yang semakin ramai tentang kuasa penerbit stablecoin untuk membekukan dana.

Berita utamanya adalah $6.3B dicuri.

Angka yang lebih penting mungkin 95%: Binance menanggung peretasan terbesar sepanjang masa dari neraca keuangannya dalam waktu kurang dari seminggu.

Namun, dananya belum hilang. Dana itu tersebar di sekitar 12,000 dompet, dan dompet baru muncul setiap 25 detik.

Jika Anda mengelola dompet panas sebuah bursa, apa yang akan Anda ubah terlebih dahulu?

Sumber

  • Binance di X: penyelidikan awal (30 Okt), pembaruan penyelidikan (30 Okt), Pembaruan Pemulihan #2–#6 (30 Okt – 3 Nov)

  • FBI Cyber: "Korea Utara Bertanggung Jawab atas Serangan Binance Senilai Lebih dari $6 Miliar" (31 Okt)

  • TRM Labs: "Korea Utara Mencuri USD 6.36 Miliar dari Binance dalam Peretasan Terbesar dalam Sejarah"

  • Elliptic: "Bagaimana Korea Utara mencuci $6.4 miliar yang dicuri dari Binance" (2 Nov)

  • CNBC: arus keluar bersih (2 Nov); bantahan Korea Utara dan pelacakan oleh Elliptic/Chainalysis (3 Nov)

  • Cointelegraph di X, mengutip Chainalysis: penghentian THORChain setelah reorganisasi Ethereum (31 Okt)

  • CZ di X (1 Nov – 3 Nov)

  • DefiLlama (CEX Binance), mempool.space (alamat SAFU), TradingView/Binance (harga), CoinGlass melalui BeInCrypto (likuidasi)

  • StepSecurity: pelajaran keamanan perangkat pengembang (30 Okt)

  • Wikipedia "Peretasan Binance 2026" untuk memeriksa ulang kronologi