Pada 30 Oktober 2026 (waktu UTC+8), Binance mengalami insiden keamanan yang serius dan sangat kompleks. Ini seharusnya tidak terjadi. Kami dengan tulus meminta maaf atas kekhawatiran, gangguan, dan ketidakpastian yang ditimbulkan insiden ini bagi pengguna, mitra, dan seluruh industri.
Melindungi pengguna adalah tanggung jawab utama kami. Binance akan menanggung seluruh kerugian atas dana yang dicuri dalam insiden ini, bukan pengguna. Kami telah menyisihkan dana lebih dari 100% untuk menutupi kerugian yang disebabkan oleh insiden ini. Per 31 Oktober 2026 (waktu UTC+8), 98% aset token yang terdampak telah dipulihkan. Pengguna dapat memverifikasinya melalui halaman bukti cadangan kami. Kami sedang membeli sisa aset yang likuiditasnya lebih rendah.
Nilai aset digital yang terlibat dalam insiden ini sekitar 6,34 miliar dolar AS. Hingga pembaruan ini, aset digital senilai sekitar 2,85 miliar dolar AS telah dibekukan atau dicegat. Jumlah pastinya masih perlu diverifikasi lebih lanjut dan dapat dipengaruhi oleh fluktuasi harga pasar.
Kami segera mengambil tindakan untuk membatasi dampak insiden dan memperkuat keamanan sistem terkait. Semua titik penyusupan yang dimanfaatkan dalam serangan ini telah ditutup, dan sistem yang terlibat dalam jalur serangan telah dibangun ulang atau diganti. Selain itu, kami memperkuat kontrol perangkat dan sistem pengendalian risiko layanan wallet, serta memperluas kemampuan deteksi anomali perilaku berbasis AI.
Ini adalah laporan awal investigasi kami yang mencakup informasi yang telah kami ketahui hingga saat ini serta langkah perbaikan yang telah diselesaikan. Investigasi masih berlangsung dan hasilnya akan menjalani tinjauan independen lebih lanjut. Untuk mencegah pelaku serangan berbahaya memanfaatkan informasi terkait guna merencanakan serangan lebih lanjut, sebagian detail teknis akan tetap dirahasiakan. Kami sedang mengundang perusahaan keamanan independen untuk melakukan tinjauan lebih lanjut.
Berdasarkan informasi terbaru yang dirilis oleh Biro Investigasi Federal Amerika Serikat (FBI), Republik Rakyat Demokratik Korea (DPRK) bertanggung jawab atas insiden ini.
Kami menerbitkan laporan ini karena hanya dengan belajar dan berbagi pengalaman bersama di seluruh industri, kita dapat terus meningkatkan tingkat keamanan.
Tinjauan insiden 30 Oktober
Serangan ini dengan cepat meluas ke berbagai jaringan blockchain.
Penyerang memanfaatkan akses tanpa izin yang diperoleh ke layanan penandatanganan wallet internal untuk melewati proses penarikan normal dan menginisiasi transaksi.
Pada 04.05 hingga 04.09 (waktu UTC+8), lima hot wallet Binance mentransfer 233,46 juta XRP ke alamat yang dikendalikan penyerang.
Hot wallet Binance di jaringan Solana dan Optimism masing-masing mentransfer sekitar 970.500 SOL dan 44,2 juta OP ke alamat yang dikendalikan penyerang.
Binance kemudian menerima peringatan internal mengenai transfer berjumlah besar dan segera memulai investigasi.
Hot wallet Binance mentransfer 18.270 BTC ke alamat yang dikendalikan penyerang.
Setelah itu, penyerang menyalahgunakan mekanisme otorisasi EIP-7702 Ethereum melalui layanan penandatanganan. EIP-7702 memungkinkan akun mendelegasikan sebagian hak eksekusi kepada kontrak pintar tanpa mengungkapkan kunci privat. Dalam insiden ini, penyerang memanfaatkan mekanisme tersebut agar kontrak pintar yang dikendalikannya memperoleh sebagian hak eksekusi atas hot wallet Binance yang terdampak.
Binance segera mengaktifkan sejumlah langkah pengendalian darurat, termasuk menangguhkan penarikan untuk mencegah arus dana keluar lebih lanjut, berkoordinasi dengan mitra untuk membekukan token yang terdampak, serta mengambil langkah untuk mencabut otorisasi tanpa izin. Tindakan ini membekukan aset senilai total sekitar 2,85 miliar dolar AS.
Namun, penangguhan penarikan saja tidak cukup untuk menghentikan semua pemindahan aset tanpa izin. Otorisasi EIP-7702 berbahaya sudah tercatat di blockchain dan berjalan secara terpisah dari infrastruktur penarikan normal Binance. Penyerang mengirimkan 50 transaksi bertanda tangan untuk memanipulasi nonce akun (account nonce) dan membuat otorisasi delegasi berbahaya. Setelah otorisasi tersebut dibuat, penyerang dapat melewati infrastruktur penarikan normal Binance dan terus memindahkan aset. Binance harus melakukan transaksi tambahan di blockchain untuk mencabut otorisasi tersebut.
Penanganan dampak insiden ini juga melibatkan kompleksitas teknis lainnya. Karena hot wallet yang terdampak menggunakan teknologi komputasi multipihak yang aman (MPC), tidak ada satu kunci privat yang dapat langsung digunakan untuk segera mencabut otorisasi EIP-7702 berbahaya. Karena itu, tim memerlukan waktu tambahan untuk merancang dan menjalankan proses pencabutan khusus secara terpisah. Selain itu, menangguhkan penarikan dan menonaktifkan layanan hot wallet tidak otomatis membatalkan otorisasi yang sudah tercatat di blockchain.
Tantangan-tantangan tersebut memperpanjang waktu yang kami perlukan untuk sepenuhnya mengendalikan pemindahan aset tanpa izin. Kami sedang meninjau proses respons darurat, cakupan strategi penandatanganan, dan mekanisme pengendalian hot wallet dalam insiden ini, serta mengidentifikasi area yang dapat diperkuat agar kami mampu merespons ancaman keamanan dengan lebih cepat di masa mendatang.
Transfer tanpa izin terakhir sebesar 2.961,9 ETH dikonfirmasi secara final di blockchain pada pukul 07.56 (waktu UTC+8). Transaksi tersebut sebelumnya telah disiarkan ke jaringan dan berada dalam status menunggu konfirmasi sebelum akhirnya dikonfirmasi secara final. Setelah itu, tidak ditemukan transfer tanpa izin lainnya.
Pada 30 Oktober 2026 pukul 08.10 (waktu UTC+8), Binance melakukan operasi otorisasi baru melalui hot wallet Binance14 ke alamat kosong, yang menghapus kode delegasi EIP-7702.
Proses persiapan serangan
Hasil investigasi saat ini menunjukkan bahwa insiden ini merupakan operasi serangan multi-tahap yang kompleks, bukan peretasan tunggal yang terisolasi ataupun serangan phishing sederhana. Penyerang menggabungkan berbagai teknik, termasuk rekayasa sosial melalui wawancara kerja palsu, pengunduhan perangkat lunak berbahaya, penyusupan ke alat AI internal, kompromi perangkat endpoint, serta metode otorisasi transaksi tingkat lanjut.
Juni 2026 — Serangan rantai pasokan. Untuk memasang alat pemrograman AI populer, seorang engineer (A) di tim pengembangan dan operasional wallet mencari melalui mesin pencari lalu mengunduh installer Homebrew yang telah dimodifikasi. Tim keamanan kami mendeteksi kejanggalan ini secara proaktif, mengganti perangkat tersebut, dan merotasi semua kredensial terkait. Meskipun demikian, informasi jabatan engineer A dan informasi rekan-rekan terkait di tim infrastruktur wallet tetap terekspos kepada penyerang.
Sejak awal 2026, tim keamanan Binance telah mendeteksi dan mencegah 57 insiden ancaman siber yang diduga terkait dengan Korea Utara. Serangan-serangan ini mencerminkan ancaman berkelanjutan dari pelaku yang didukung negara terhadap industri mata uang kripto. Metode serangan yang digunakan mencakup wawancara kerja palsu, malware yang menyamar sebagai alat pengembangan populer, paket perangkat lunak dan ekstensi browser yang dimodifikasi, aplikasi konferensi video palsu, serta serangan rekayasa sosial yang dirancang untuk mencuri kredensial akun atau memasang malware akses jarak jauh.
September — Serangan rekayasa sosial. Seorang engineer perangkat lunak (B) dihubungi melalui platform pencarian kerja yang sah oleh seseorang yang menyamar sebagai direktur proyek. Profil engineer B di platform tersebut mencantumkan pengalaman kerjanya di Binance. Pelaku mengatur wawancara putaran pertama dengan mengaku sebagai direktur proyek, yang diikuti oleh perwakilan SDM; kemudian, pelaku mengatur wawancara putaran kedua dengan seseorang yang mengaku sebagai CEO perusahaan fiktif tersebut.
Dalam wawancara putaran pertama, orang yang menyamar sebagai perwakilan SDM melakukan wawancara video langsung dengan engineer B. Untuk membangun kepercayaan, pewawancara juga membagikan akun media sosialnya kepada engineer B. Akun tersebut menampilkan foto dan video kehidupan pribadinya. Cara ini lebih kompleks dan lebih menipu dibandingkan metode serangan rekayasa sosial sebelumnya.
Wawancara putaran kedua dilakukan melalui aplikasi obrolan sosial yang populer. Menjelang akhir wawancara, engineer B diminta mengunduh sebuah “tugas” yang berisi repositori kode ke komputer kerjanya. Repositori tersebut berisi kode berbahaya yang dijalankan selama proses instalasi, sehingga memicu serangkaian tindakan tanpa izin.
Malware tersebut menggunakan teknik pengaburan kode dan penghindaran deteksi yang kompleks, termasuk mengganti komponen alat pengembangan yang sah dengan versi berbahaya untuk menjalankan perintah dan berkomunikasi dengan server eksternal yang dikendalikan penyerang. Pada saat itu, alat perlindungan keamanan endpoint tidak mendeteksi malware zero-day ini. Penyerang juga mengambil langkah untuk menyembunyikan aktivitas berbahaya dan menghapus jejak penyusupan, sehingga deteksi dan investigasi lanjutan menjadi semakin sulit.
Skrip ini menghindari deteksi keamanan dengan teknik pengaburan kode dan melakukan tindakan berikut:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← menghapus pyenv yang sah
RENAME pyenv_ → pyenv (3,414 B) ← menggantinya dengan versi berbahaya
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (membuat symlink baru) + menjalankan zsh
20 Oktober — Memanfaatkan alat AI internal sebagai batu loncatan serangan. Dengan menggunakan komputer engineer B yang telah disusupi, penyerang mengendalikan perangkat engineer A dari tim pengembangan dan operasional wallet serta perangkat seorang engineer perangkat lunak wallet lainnya (C) melalui alat AI internal. Penyerang segera menemukan token dengan izin untuk menerapkan kontainer yang tersimpan di komputer engineer A.
30 Oktober — Menyusup ke operasi penandatanganan wallet. Pada 30 Oktober pukul 01.15 hingga 03.56 (waktu UTC+8), penyerang masuk ke komputer engineer perangkat lunak C, menerapkan kontainer menggunakan kredensial yang dicuri dari engineer A, lalu menjalankan skrip berbahaya untuk melancarkan serangan ini.
Langkah-langkah yang telah kami lakukan
Hingga 3 November 2026, kami telah mengambil langkah-langkah berikut:
Membangun ulang sistem wallet yang terdampak di lingkungan baru.
Membangun ulang alat AI internal yang terdampak dan memperkuat kontrol akses terkait.
Mengganti perangkat yang terdampak.
Menonaktifkan kredensial dan token yang terkait dengan engineer terdampak.
Menyelesaikan pemindaian keamanan menyeluruh terhadap perangkat semua karyawan.
Memperkuat kemampuan deteksi anomali perilaku berbasis AI.
Memperkuat langkah-langkah pengendalian risiko layanan wallet.
Bekerja sama dengan lembaga penegak hukum, organisasi intelijen blockchain, dan mitra industri untuk melacak dan membekukan aset yang terdampak.
Seiring berlanjutnya investigasi, kami akan terus memperkuat berbagai langkah keamanan. Sebagian langkah keamanan yang telah kami selesaikan dan yang sedang kami terapkan akan tetap dirahasiakan untuk mencegah pelaku serangan berbahaya memanfaatkan informasi terkait guna menembus pertahanan keamanan kami.
Langkah selanjutnya
Kami akan segera melaksanakan langkah-langkah berikut:
Melakukan tinjauan keamanan siber independen
Kami sedang mengundang pakar keamanan siber pihak ketiga yang independen untuk meninjau insiden ini secara menyeluruh, memverifikasi hasil investigasi kami, dan memberikan rekomendasi peningkatan keamanan lebih lanjut. Ruang lingkup dan hasil tinjauan ini akan menjadi dasar bagi upaya remediasi berkelanjutan kami.
Meningkatkan investasi dalam keamanan dan pencegahan AI
Kami akan meningkatkan investasi dalam deteksi ancaman berbasis AI, perlindungan endpoint, keamanan lingkungan pengembangan, serta pemantauan anomali perilaku.
Mendirikan dana riset keamanan dan mendorong kolaborasi industri
Kami bekerja sama dengan perusahaan AI terkemuka, pelaku industri, dan organisasi keamanan untuk menyiapkan dana riset keamanan dan menjalankan program khusus yang berfokus pada keamanan AI dalam lingkungan blockchain.
Kami akan terus membagikan informasi terbaru yang kami peroleh secara proaktif.