Pada 29 Oktober 2026, Binance mengalami insiden keamanan serius dan sangat canggih. Hal ini seharusnya tidak terjadi, dan kami meminta maaf atas kekhawatiran, gangguan, dan ketidakpastian yang ditimbulkannya bagi pengguna, mitra, dan industri secara umum.

Tanggung jawab utama kami adalah melindungi pengguna. Binance akan menanggung dampak finansial dari dana yang dicuri, bukan pengguna kami. Kami telah menyisihkan lebih dari 100% dana yang diperlukan untuk menutupi kerugian. Hingga 31 Oktober 2026, 98% aset dalam token yang terdampak telah dipulihkan dan dapat diverifikasi di halaman Bukti Cadangan (Proof of Reserves) kami. Saat ini, kami sedang mengupayakan perolehan aset yang tersisa, yang likuiditasnya lebih rendah.

Insiden ini berdampak pada aset digital senilai sekitar USD 6,340 miliar. Hingga pembaruan ini, aset digital senilai sekitar USD 2,850 miliar telah dibekukan atau dicegat, dengan angka tersebut masih menunggu rekonsiliasi dan dapat berubah mengikuti volatilitas harga pasar.

Kami telah mengambil tindakan segera untuk membatasi insiden dan memperkuat sistem yang terlibat. Titik akses yang teridentifikasi digunakan dalam serangan telah ditutup. Sistem yang terlibat dalam jalur serangan telah dibangun ulang atau diganti. Kami juga menerapkan kontrol perangkat yang lebih ketat, memperkuat kontrol risiko layanan dompet, dan memperluas pendeteksian anomali perilaku berbasis kecerdasan buatan (AI).

Ini adalah laporan awal kami. Di dalamnya, kami menyampaikan hal-hal yang kami ketahui sejauh ini dan peningkatan yang telah kami terapkan. Penyelidikan masih berlangsung dan temuan kami akan menjalani tinjauan independen tambahan. Beberapa detail teknis akan tetap dirahasiakan agar pihak jahat tidak dapat menggunakannya untuk merencanakan serangan. Kami bekerja sama dengan perusahaan independen yang berspesialisasi dalam keamanan untuk melakukan tinjauan tambahan.

Informasi terbaru yang diterbitkan oleh Biro Investigasi Federal Amerika Serikat (FBI) menyatakan bahwa Republik Rakyat Demokratik Korea bertanggung jawab atas insiden ini.

Kami membagikan laporan awal ini karena keamanan akan meningkat ketika industri belajar dan berbagi pengetahuan bersama.

Apa yang terjadi pada 29 Oktober

Serangan berlangsung cepat melalui beberapa jaringan.

Penyerang memanfaatkan akses tanpa izin ke layanan penandatanganan transaksi internal dompet untuk memulai transaksi di luar proses penarikan biasa.

Antara pukul 20:05 dan 20:09 UTC, lima dompet panas Binance mengirimkan 233.46 juta XRP ke alamat yang dikendalikan penyerang.

Dompet panas Binance di Solana dan Optimism mengirimkan sekitar 970,500 SOL dan 44.2 juta OP ke alamat yang dikendalikan penyerang.

Setelah itu, Binance menerima peringatan internal terkait transfer bervolume besar dan segera memulai penyelidikan.

Sebuah dompet panas Binance mengirimkan 18,270 BTC ke alamat yang dikendalikan penyerang.

Selanjutnya, penyerang menggunakan layanan penandatanganan untuk mengeksploitasi mekanisme otorisasi EIP-7702 milik Ethereum. EIP-7702 memungkinkan sebuah akun mendelegasikan hak eksekusi tertentu kepada kontrak pintar tanpa mengekspos kunci privatnya. Dalam kasus ini, penyerang menggunakan mekanisme tersebut untuk memberikan hak eksekusi sebagian atas dompet panas Binance kepada kontrak pintar yang mereka kendalikan.

Binance segera memulai beberapa langkah pembatasan, termasuk menangguhkan penarikan untuk membatasi arus keluar dana lebih lanjut, berkoordinasi dengan mitra untuk membekukan token yang terdampak, dan menerapkan langkah-langkah untuk mencabut izin tanpa otorisasi. Upaya-upaya ini berhasil membekukan aset senilai total USD 2,850 miliar.

Namun, penangguhan penarikan saja tidak dapat menghentikan semua pergerakan aset tanpa otorisasi. Otorisasi EIP-7702 berbahaya telah tercatat di blockchain (on-chain) dan beroperasi secara independen dari infrastruktur penarikan Binance yang biasa.

Para penyerang mengirimkan 50 transaksi penandatanganan untuk memanipulasi nonce akun dan membuat otorisasi delegasi berbahaya. Setelah dibuat, otorisasi ini memungkinkan para penyerang untuk terus mentransfer aset secara independen dari infrastruktur penarikan Binance yang biasa. Karena itu, Binance perlu menjalankan transaksi tambahan untuk mencabut otorisasi tersebut di blockchain.

Proses pembatasan melibatkan kerumitan teknis tambahan. Karena dompet panas menggunakan komputasi multipartai (MPC), tidak ada satu kunci privat yang dapat digunakan untuk segera mencabut otorisasi EIP-7702 berbahaya. Oleh karena itu, tim mengembangkan dan menjalankan prosedur khusus untuk mencabut otorisasi tersebut, yang membutuhkan waktu tambahan. Selain itu, penangguhan penarikan dan penutupan layanan dompet panas tidak otomatis membatalkan otorisasi yang sudah ada di blockchain.

Tantangan ini memperpanjang waktu yang diperlukan untuk sepenuhnya membatasi pergerakan aset tanpa otorisasi. Kami sedang meninjau proses respons insiden, cakupan kebijakan penandatanganan, dan kontrol dompet panas, serta mengidentifikasi peluang untuk meningkatkan kemampuan kami dalam merespons ancaman di masa mendatang dengan cepat.

Transfer terakhir tanpa otorisasi, dengan total 2,961.9 ETH, dikonfirmasi di blockchain pada pukul 23:56 UTC. Transaksi tersebut telah disiarkan sebelumnya dan tetap tertunda sebelum dikonfirmasi. Setelah transaksi ini, tidak ada transfer tanpa otorisasi baru yang teramati.

Pada 30 Oktober 2026 pukul 00:10 UTC, Binance menjalankan otorisasi baru dari dompet panas Binance14 ke alamat nol, sehingga menghapus kode delegasi EIP-7702.

Persiapan serangan

Investigasi kami saat ini menunjukkan bahwa ini merupakan kampanye canggih yang berlangsung dalam beberapa tahap. Ini bukan penyusupan terpisah atau sekadar insiden phishing. Para penyerang menggabungkan beragam teknik, termasuk rekayasa sosial melalui wawancara kerja palsu, unduhan perangkat lunak berbahaya, alat AI internal yang disusupi, kompromi perangkat, dan metode otorisasi transaksi tingkat lanjut.

Juni 2026: serangan rantai pasokan perangkat lunak

Insinyur A dari tim DevOps Dompet mengunduh instalasi Homebrew yang telah dimodifikasi untuk memasang alat pemrograman berbasis AI yang populer setelah mencarinya di mesin pencari.

Tim keamanan kami mendeteksi anomali tersebut, mengganti perangkat, dan memperbarui semua kredensial terkait sebagai tindakan pencegahan keamanan. Namun, perangkat kerja Insinyur A dan rekan-rekannya yang terkait dengan tim infrastruktur dompet telah terekspos kepada penyerang.

Selama 2026, tim keamanan Binance mendeteksi dan mencegah 57 potensi ancaman siber yang terkait dengan Korea Utara. Upaya-upaya ini mencerminkan ancaman berkelanjutan yang ditimbulkan oleh aktor yang disponsori negara terhadap industri kripto.

Teknik yang digunakan mencakup wawancara kerja palsu, perangkat lunak berbahaya yang menyamar sebagai alat populer untuk pengembang, paket perangkat lunak dan ekstensi peramban yang disusupi, aplikasi konferensi video palsu, serta kampanye rekayasa sosial yang dirancang untuk mencuri kredensial atau memasang program berbahaya untuk akses jarak jauh.

September 2026: rekayasa sosial

Insinyur perangkat lunak B dihubungi melalui platform pencarian kerja yang sah oleh seseorang yang menyamar sebagai manajer proyek. Insinyur B memiliki profil di platform tersebut yang mencantumkan pengalamannya di Binance.

Manajer proyek palsu tersebut mengatur wawancara pertama dengan perwakilan Sumber Daya Manusia, disusul wawancara kedua dengan seseorang yang mengaku sebagai direktur utama sebuah perusahaan fiktif.

Dalam wawancara pertama, perwakilan Sumber Daya Manusia palsu itu melakukan panggilan video langsung dengan Insinyur B. Untuk membangun kepercayaan, pewawancara membagikan akun media sosial yang memuat foto dan video pribadi yang diunggah ke platform tersebut. Metode ini lebih canggih dan menipu dibandingkan teknik rekayasa sosial yang pernah diamati sebelumnya.

Wawancara kedua dilakukan melalui aplikasi perpesanan sosial yang populer. Menjelang akhir wawancara, Insinyur B diminta mengunduh “tes teknis” berisi repositori kode berbahaya ke komputer kerjanya. Repositori tersebut memuat kode berbahaya yang dijalankan selama proses penyiapan dan memulai serangkaian aktivitas tanpa izin.

Malware tersebut menggunakan teknik pengaburan dan penghindaran yang canggih, termasuk mengganti komponen sah dari alat pengembangan dengan versi berbahaya untuk menjalankan perintah dan berkomunikasi dengan server eksternal yang dikendalikan penyerang.

Malware zero-day tersebut tidak terdeteksi saat itu oleh alat perlindungan keamanan perangkat. Penyerang juga mengambil langkah untuk menyembunyikan aktivitas berbahaya dan menghapus jejak penyusupan, sehingga pendeteksian maupun penyelidikan setelahnya menjadi lebih sulit.

Skrip tersebut menjalankan langkah-langkah berikut dengan menggunakan teknik pengaburan untuk menghindari mekanisme pendeteksian keamanan:

text

CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY  pyenv_ → 3,414 B

DELETE  .../libexec/pyenv  (3,344 B)
        ← menghapus berkas pyenv yang sah

RENAME  pyenv_ → pyenv  (3,414 B)
        ← menggantinya dengan versi berbahaya

DELETE  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (membuat tautan simbolis baru)  +  spawn zsh

20 Oktober 2026: penggunaan alat AI internal sebagai titik masuk

Penyerang memanfaatkan komputer Insinyur B yang telah disusupi dan menggunakan alat AI internal untuk memperoleh kendali atas Insinyur A dari DevOps Dompet serta seorang insinyur perangkat lunak Dompet lainnya, yang diidentifikasi sebagai Insinyur C.

Tak lama kemudian, penyerang mengetahui bahwa Insinyur A memiliki token di komputernya dengan izin untuk menerapkan kontainer.

29 Oktober 2026: akses ke operasi penandatanganan dompet

Pada 29 Oktober, antara pukul 17:15 dan 19:56 UTC, penyerang masuk ke komputer Insinyur C, menggunakan kredensial yang dicuri dari Insinyur A dari DevOps Dompet, menerapkan kontainer, dan menjalankan skrip berbahaya untuk memulai serangan.

Langkah-langkah yang telah kami lakukan

Hingga 3 November 2026, kami telah melakukan tindakan berikut:

  • Kami membangun ulang sistem dompet yang terdampak di lingkungan baru.

  • Kami membangun ulang alat AI internal yang terdampak dan memperkuat kontrol aksesnya.

  • Kami mengganti perangkat yang terdampak.

  • Kami menonaktifkan kredensial dan token yang terkait dengan para insinyur yang terdampak.

  • Kami menyelesaikan analisis keamanan yang lebih ketat pada perangkat semua karyawan.

  • Kami meningkatkan pendeteksian anomali perilaku berbasis AI.

  • Kami memperkuat kontrol risiko layanan dompet.

  • Kami bekerja sama dengan pihak berwenang, perusahaan intelijen blockchain, dan mitra industri untuk melacak dan membekukan aset yang terdampak.

Kami akan terus memperkuat langkah-langkah kami seiring berlanjutnya penyelidikan. Kami telah menerapkan dan sedang menerapkan berbagai langkah keamanan yang akan dirahasiakan untuk mencegah pihak jahat menyusupi sistem kami.

Langkah selanjutnya

Kami segera mengambil langkah-langkah berikut:

1. Tinjauan keamanan siber independen

Kami melibatkan pakar keamanan siber independen untuk melakukan tinjauan menyeluruh atas insiden ini, memvalidasi temuan kami, dan merekomendasikan langkah-langkah tambahan.

Cakupan dan hasil tinjauan ini akan menjadi dasar kegiatan remediasi dan peningkatan kami yang berkelanjutan.

2. Peningkatan investasi dalam keamanan dan pencegahan berbasis AI

Kami meningkatkan investasi dalam pendeteksian berbasis kecerdasan buatan, perlindungan perangkat, keamanan lingkungan pengembangan, dan pemantauan anomali perilaku.

3. Dana penelitian keamanan dan inisiatif industri

Kami tengah berupaya membentuk dana penelitian keamanan dan mengembangkan inisiatif khusus bersama perusahaan AI terkemuka, pelaku industri, dan firma keamanan khusus, dengan fokus khusus pada keamanan AI di lingkungan blockchain.

Kami akan terus membagikan informasi secara proaktif seiring tersedianya informasi tersebut.