Temuan Awal dan Pembaruan Tanggapan

Pada 29 Oktober 2026, Binance mengalami insiden keamanan serius dan sangat canggih. Hal ini seharusnya tidak terjadi, dan kami meminta maaf atas ketidaknyamanan, gangguan, dan ketidakpastian yang ditimbulkannya bagi pengguna, mitra, serta industri secara keseluruhan.

Tanggung jawab utama kami adalah melindungi pengguna. Binance menanggung dampak finansial dari dana yang dicuri, bukan pengguna kami. Kami telah menyediakan lebih dari 100% dana yang diperlukan untuk menutup kerugian tersebut. Hingga hari ini, 3 November 2026, 98% aset dalam token yang terdampak telah dipulihkan dan dapat diverifikasi di halaman Bukti Cadangan kami. Kami sedang dalam proses membeli aset yang tersisa, yang likuiditasnya lebih rendah.

Sekitar US$ 6,34 miliar aset virtual terdampak oleh insiden ini. Hingga pembaruan ini, sekitar US$ 2,85 miliar aset virtual telah dibekukan atau dicegat, dengan tetap memperhitungkan rekonsiliasi dan volatilitas harga pasar.

Kami segera mengambil langkah untuk membendung insiden dan memperkuat sistem yang terlibat. Titik masuk yang diketahui digunakan dalam serangan telah ditutup. Sistem yang dijangkau melalui jalur serangan telah dibangun ulang atau diganti. Kami juga menerapkan kontrol perangkat yang lebih ketat, meningkatkan kontrol risiko untuk layanan wallet, dan memperluas deteksi anomali perilaku berbasis AI.

Ini adalah laporan awal kami. Laporan ini mencakup hal-hal yang kami ketahui saat ini dan peningkatan yang telah kami lakukan. Investigasi masih berlangsung, dan temuan kami akan menjalani peninjauan independen lebih lanjut. Beberapa detail teknis akan tetap dirahasiakan agar tidak digunakan oleh pihak berniat jahat untuk merencanakan serangan. Kami tengah menunjuk perusahaan keamanan independen untuk melakukan peninjauan lebih lanjut.

Informasi terbaru yang dirilis oleh Federal Bureau of Investigation (FBI) (https:// www. fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack) menunjukkan bahwa Republik Rakyat Demokratik Korea bertanggung jawab atas insiden ini.

Kami membagikan laporan awal ini karena keamanan akan meningkat ketika industri belajar bersama.

Yang Terjadi pada 29 Oktober

Serangan berlangsung dengan cepat di beberapa jaringan.

Penyerang mengeksploitasi akses tanpa izin ke layanan penandatanganan wallet internal untuk memulai transaksi di luar proses penarikan normal.

Antara pukul 17.05 dan 17.09 (waktu Brasília), lima hot wallet Binance mengirim 233,46 juta XRP ke alamat yang dikendalikan penyerang.

Hot wallet Binance di Solana dan Optimism mengirim sekitar 970.500 SOL dan 44,2 juta OP ke alamat yang dikendalikan penyerang.

Binance kemudian menerima peringatan internal tentang transfer bervolume besar dan segera memulai investigasi.

Sebuah hot wallet Binance mengirim 18.270 BTC ke alamat yang dikendalikan penyerang.

Penyerang kemudian menggunakan layanan penandatanganan untuk mengeksploitasi mekanisme otorisasi EIP-7702 Ethereum. EIP-7702 memungkinkan sebuah akun mendelegasikan hak eksekusi tertentu kepada kontrak pintar tanpa mengungkapkan kunci privat. Dalam kasus ini, penyerang menggunakan mekanisme tersebut untuk memberikan hak eksekusi parsial atas hot wallet Binance kepada kontrak pintar yang dikendalikannya.

Binance segera memulai berbagai langkah pembendungan, termasuk menangguhkan penarikan untuk membatasi arus keluar dana baru, berkoordinasi dengan mitra untuk membekukan token yang terdampak, serta mengambil langkah untuk mencabut izin tanpa otorisasi. Upaya ini membekukan total aset senilai US$ 2,85 miliar.

Namun, penangguhan penarikan saja tidak mampu menghentikan semua perpindahan aset tanpa izin. Otorisasi EIP-7702 berbahaya tersebut tercatat on-chain dan beroperasi secara independen dari infrastruktur penarikan normal Binance. Penyerang mengirimkan 50 transaksi penandatanganan untuk memanipulasi NONCE akun dan menetapkan otorisasi delegasi berbahaya. Setelah ditetapkan, otorisasi ini memungkinkan penyerang terus memindahkan aset secara independen dari infrastruktur penarikan normal Binance. Binance perlu melakukan transaksi tambahan untuk mencabut otorisasi tersebut secara on-chain.

Proses pembendungan melibatkan kompleksitas teknis tambahan. Karena hot wallet menggunakan Komputasi Multipartai (MPC), tidak ada satu kunci privat yang dapat digunakan untuk segera mencabut otorisasi EIP-7702 berbahaya. Karena itu, tim mengembangkan dan menjalankan prosedur khusus untuk mencabut otorisasi tersebut, yang membutuhkan waktu tambahan. Selain itu, penangguhan penarikan dan penonaktifan layanan hot wallet tidak secara otomatis membatalkan otorisasi on-chain yang sudah ada.

Tantangan ini memperpanjang waktu yang diperlukan untuk sepenuhnya membendung perpindahan aset tanpa izin. Kami sedang meninjau proses tanggap insiden, cakupan kebijakan penandatanganan, kontrol hot wallet, serta mengidentifikasi peluang untuk lebih memperkuat kemampuan kami dalam merespons ancaman serupa dengan cepat di masa mendatang.

Transfer tanpa izin terakhir, sebesar 2.961,9 ETH, difinalisasi secara on-chain pada pukul 20.56 (Brasília). Transaksi tersebut telah disiarkan sebelumnya dan sempat tertunda sebelum akhirnya difinalisasi. Setelah itu tidak ada transfer tanpa izin lain yang teramati.

Pada pukul 21.10 (Brasília) tanggal 29 Oktober 2026, Binance menjalankan otorisasi baru dari hot wallet Binance 14 ke alamat nol, sehingga menghapus kode delegasi EIP-7702.

Persiapan Serangan

Investigasi kami saat ini menunjukkan bahwa ini adalah kampanye serangan canggih yang terdiri dari beberapa tahap. Ini bukan satu pelanggaran terisolasi atau insiden phishing sederhana. Para penyerang menggabungkan berbagai teknik, termasuk rekayasa sosial melalui wawancara rekrutmen palsu, unduhan perangkat lunak berbahaya, kompromi alat AI internal, kompromi endpoint, dan metode otorisasi transaksi tingkat lanjut.

  • Juni 2026 — Serangan rantai pasokan. Engineer A dari tim DevOps Wallet mengunduh instalasi Homebrew yang telah dimanipulasi ( isc.sans.edu/diary/32942) untuk memasang alat pemrograman AI populer setelah mencarinya di mesin pencari. Tim keamanan kami mendeteksi anomali tersebut, mengganti perangkat, dan merotasi semua kredensial terkait sebagai langkah proaktif untuk menjaga keamanan. Namun, jabatan Engineer A dan identitas rekan-rekannya yang terkait di tim infrastruktur wallet kami telah terungkap kepada peretas.

  • Sepanjang 2026, tim keamanan Binance mendeteksi dan mencegah 57 kasus ancaman siber yang diduga terkait dengan Korea Utara. Upaya-upaya ini mencerminkan ancaman terus-menerus dari aktor yang disponsori negara dan menargetkan sektor kripto. Teknik yang digunakan mencakup wawancara kerja palsu, perangkat lunak berbahaya yang menyamar sebagai alat populer bagi developer seperti Claude dan Codex, paket perangkat lunak dan ekstensi browser yang telah disusupi, aplikasi konferensi video palsu, serta kampanye rekayasa sosial yang dirancang untuk mencuri kredensial atau memasang malware akses jarak jauh.

  • September — rekayasa sosial. Software Engineer B dihubungi melalui platform pencarian kerja yang sah oleh seseorang yang mengaku sebagai Direktur Proyek. Software Engineer B memiliki profil di platform tersebut yang menyebutkan pengalamannya di Binance. Orang yang mengaku sebagai Direktur Proyek itu mengatur wawancara putaran pertama dengan perwakilan HR, dilanjutkan dengan putaran kedua bersama seseorang yang mengaku sebagai CEO perusahaan fiktif.

  • Pada putaran pertama, perwakilan HR yang mengaku tersebut melakukan wawancara video langsung dengan Software Engineer B. Pewawancara itu membagikan akun media sosialnya kepada Software Engineer B, termasuk foto dan video pribadi yang dipublikasikan di platform tersebut, untuk membangun kepercayaan. Pendekatan ini lebih canggih dan menipu daripada metode rekayasa sosial yang pernah diamati sebelumnya.

  • Wawancara kedua dilakukan melalui aplikasi pesan sosial populer. Menjelang akhir wawancara, Engineer B diminta mengunduh sebuah “tugas” yang berisi repositori kode berbahaya ke komputer kerjanya. Repositori tersebut berisi kode berbahaya yang dijalankan selama proses penyiapan, lalu memulai serangkaian aktivitas tanpa izin.

  • Malware tersebut menggunakan teknik pengaburan dan penghindaran yang canggih, termasuk mengganti komponen sah dari alat pengembangan dengan versi berbahaya untuk menjalankan perintah dan menjalin komunikasi dengan server eksternal yang dikendalikan penyerang. Malware zero-day tersebut tidak terdeteksi oleh alat perlindungan endpoint pada saat itu. Penyerang juga mengambil langkah untuk menyembunyikan aktivitas berbahaya dan menghapus jejak kompromi, sehingga deteksi dan investigasi selanjutnya menjadi lebih sulit.

  • Skrip tersebut menjalankan langkah-langkah berikut dengan menerapkan teknik pengaburan untuk menghindari deteksi keamanan.

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← menghapus pyenv yang sah
RENAME pyenv_ → pyenv (3,414 B) ← menggantinya dengan versi berbahaya
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (membuat tautan simbolis baru) + spawn zsh

  • 20 Oktober — penggunaan alat AI internal sebagai pijakan. Penyerang memanfaatkan komputer Engineer B yang telah disusupi dan menggunakan alat AI internal untuk mendapatkan kendali atas Engineer A dari tim DevOps Wallet dan Engineer C, seorang Software Engineer Wallet lainnya. Penyerang segera mengetahui bahwa Engineer A dari tim DevOps Wallet memiliki token izin untuk menerapkan kontainer di komputernya.

  • 29 Oktober — akses ke operasi penandatanganan wallet. Pada 29 Oktober, antara pukul 17.15 dan 19.56, penyerang mengakses komputer Software Engineer C, menggunakan kredensial Engineer A dari tim DevOps Wallet yang dicuri, menerapkan sebuah kontainer, dan menjalankan skrip berbahaya untuk memulai serangan.


Yang Kami Lakukan

  • Kami membangun ulang sistem wallet yang terdampak di lingkungan baru.

  • Kami membangun ulang alat AI internal yang terdampak beserta kontrol aksesnya.

  • Kami mengganti perangkat yang terdampak.

  • Kami menonaktifkan kredensial dan token yang terkait dengan para engineer terdampak.

  • Kami menyelesaikan pemindaian keamanan yang ditingkatkan pada semua perangkat karyawan.

  • Kami meningkatkan deteksi anomali perilaku berbasis AI.

  • Kami memperkuat kontrol risiko untuk layanan wallet.

  • Kami bekerja sama dengan penegak hukum, perusahaan intelijen blockchain, dan mitra industri untuk melacak dan membekukan aset yang terdampak.

Kami akan terus memperkuat langkah-langkah kami seiring berlanjutnya investigasi. Kami telah menerapkan dan sedang menerapkan berbagai langkah keamanan yang akan tetap dirahasiakan agar pihak berniat jahat tidak dapat membahayakan keamanan kami.

Tindakan Tambahan

Kami segera mengambil langkah-langkah berikut.

  1. Peninjauan Keamanan Siber Independen
    Kami menunjuk para ahli dan perusahaan keamanan siber independen untuk melakukan peninjauan menyeluruh atas insiden ini, memvalidasi temuan kami, dan merekomendasikan langkah tambahan. Cakupan dan temuan peninjauan ini akan menjadi panduan bagi upaya remediasi kami selanjutnya.

  2. Peningkatan Investasi dalam Keamanan dan Pencegahan AI
    Kami meningkatkan investasi dalam deteksi berbasis AI, perlindungan endpoint, keamanan lingkungan pengembangan, dan pemantauan anomali perilaku.

  3. Dana Riset Keamanan dan Inisiatif Industri
    Kami berupaya membentuk dana riset keamanan dan menjalankan inisiatif terarah bersama perusahaan AI terkemuka, pelaku industri, dan perusahaan keamanan, dengan fokus pada keamanan AI di lingkungan blockchain.

Kami akan terus membagikan informasi secara proaktif seiring tersedianya informasi tersebut.