Pada 29 Oktober 2026, Binance mengalami insiden keamanan serius dan sangat canggih. Hal ini seharusnya tidak terjadi, dan kami meminta maaf atas kekhawatiran, gangguan, dan ketidakpastian yang ditimbulkannya bagi pengguna, mitra, dan industri secara luas.
Tanggung jawab utama kami adalah melindungi pengguna. Binance akan menanggung dampak finansial dari dana yang dicuri, bukan pengguna kami. Kami telah menyisihkan dana lebih dari 100% dari jumlah yang diperlukan untuk menutupi kerugian. Per 31 Oktober 2026, 98% aset token yang terdampak telah dipulihkan dan dapat diverifikasi di halaman Bukti Cadangan kami. Kami sedang dalam proses membeli aset tersisa yang likuiditasnya lebih rendah.
Insiden ini berdampak pada aset digital senilai sekitar USD 6,34 miliar. Hingga pembaruan ini dibuat, aset digital senilai sekitar USD 2,85 miliar telah dibekukan atau dicegat, dengan memperhitungkan rekonsiliasi dan volatilitas harga pasar.
Kami segera mengambil tindakan untuk membatasi insiden dan memperkuat sistem yang terlibat. Titik masuk yang diketahui digunakan dalam serangan telah ditutup. Sistem yang terdampak dalam jalur serangan telah dibangun ulang atau diganti. Kami juga menerapkan kontrol perangkat yang lebih ketat, meningkatkan kontrol risiko layanan wallet, serta memperluas deteksi anomali perilaku berbasis AI.
Ini adalah laporan awal kami. Laporan ini mencakup hal-hal yang kami ketahui saat ini dan peningkatan yang telah kami lakukan. Investigasi masih berlangsung dan temuan kami akan menjalani peninjauan independen lebih lanjut. Beberapa detail teknis akan tetap dirahasiakan untuk mencegah aktor jahat menggunakannya untuk merencanakan serangan. Kami melibatkan firma keamanan independen untuk melakukan peninjauan lebih lanjut.
Informasi terbaru yang dirilis oleh Biro Investigasi Federal menunjukkan bahwa Republik Rakyat Demokratik Korea bertanggung jawab atas insiden ini.
Kami membagikan laporan awal ini karena keamanan meningkat ketika industri belajar bersama.
Kejadian pada 29 Oktober
Serangan berlangsung cepat di beberapa jaringan.
Penyerang mengeksploitasi akses tanpa izin ke layanan penandatanganan wallet internal untuk memulai transaksi di luar proses penarikan normal.
Antara pukul 20:05 UTC dan 20:09 UTC, lima hot wallet Binance mengirim 233,46 juta XRP ke alamat yang dikendalikan penyerang.
Hot wallet Binance di Solana dan Optimism mengirim sekitar 970.500 SOL dan 44,2 juta OP ke alamat yang dikendalikan penyerang.
Binance kemudian menerima peringatan internal mengenai transfer dalam jumlah besar dan segera memulai penyelidikan.
Hot wallet Binance mengirim 18.270 BTC ke alamat yang dikendalikan penyerang.
Penyerang kemudian menggunakan layanan penandatanganan untuk mengeksploitasi mekanisme otorisasi EIP-7702 Ethereum. EIP-7702 memungkinkan sebuah akun mendelegasikan hak eksekusi tertentu kepada kontrak pintar tanpa mengungkapkan kunci privat. Dalam kasus ini, penyerang menggunakan mekanisme tersebut untuk memberikan hak eksekusi parsial atas hot wallet Binance kepada kontrak pintar yang dikendalikan penyerang.
Binance segera memulai beberapa langkah pembatasan, termasuk menangguhkan penarikan untuk membatasi arus keluar lebih lanjut, berkoordinasi dengan mitra untuk membekukan token yang terdampak, dan mengambil langkah untuk mencabut izin tanpa otorisasi. Upaya ini membekukan aset senilai total $2,85 miliar.
Namun, penangguhan penarikan saja tidak dapat menghentikan semua perpindahan aset tanpa izin. Otorisasi EIP-7702 berbahaya tersebut berada di blockchain dan beroperasi secara independen dari infrastruktur penarikan normal Binance. Para penyerang mengirimkan 50 transaksi penandatanganan untuk memanipulasi nonce akun dan membuat otorisasi delegasi berbahaya. Setelah dibuat, otorisasi ini memungkinkan para penyerang terus memindahkan aset secara independen dari infrastruktur penarikan normal Binance. Binance memerlukan transaksi tambahan untuk mencabut otorisasi on-chain ini.
Proses pembatasan melibatkan kompleksitas teknis tambahan. Karena hot wallet menggunakan Multi-Party Computation (MPC), tidak ada satu kunci privat yang dapat digunakan untuk segera mencabut otorisasi EIP-7702 berbahaya tersebut. Oleh karena itu, tim mengembangkan dan menjalankan prosedur khusus untuk mencabut otorisasi ini, yang memerlukan waktu tambahan. Selain itu, menangguhkan penarikan dan menonaktifkan layanan hot wallet tidak secara otomatis membatalkan otorisasi on-chain yang sudah ada.
Tantangan-tantangan ini memperpanjang waktu yang diperlukan untuk sepenuhnya membatasi perpindahan aset tanpa izin. Kami sedang meninjau proses respons insiden, cakupan kebijakan penandatanganan, kontrol hot wallet, dan mengidentifikasi peluang untuk lebih meningkatkan kemampuan kami dalam merespons ancaman dengan cepat di masa depan.
Transfer tanpa izin terakhir sebesar 2.961,9 ETH diselesaikan on-chain pada pukul 23:56 UTC. Transaksi tersebut sebelumnya telah disiarkan dan tetap tertunda sebelum akhirnya diselesaikan. Setelah itu, tidak ada transfer tanpa izin lebih lanjut yang teramati.
Pada pukul 00:10 UTC tanggal 30 Oktober 2026, Binance menjalankan otorisasi baru dari hot wallet Binance14 ke alamat nol, sehingga menghapus kode delegasi EIP-7702.
Persiapan Serangan
Investigasi kami saat ini menunjukkan bahwa ini adalah kampanye canggih yang terdiri atas beberapa tahap. Ini bukan pelanggaran keamanan tunggal yang terisolasi atau insiden phishing sederhana. Para penyerang menggabungkan berbagai teknik, termasuk rekayasa sosial melalui wawancara rekrutmen palsu, unduhan perangkat lunak berbahaya, penyalahgunaan alat AI internal, kompromi endpoint, dan metode otorisasi transaksi tingkat lanjut.
Juni 2026 — Serangan rantai pasokan. Engineer A dari Wallet DevOps mengunduh instalasi Homebrew yang telah dimodifikasi untuk memasang alat AI populer untuk pemrograman, setelah mencarinya melalui mesin pencari. Tim keamanan kami mendeteksi anomali tersebut, mengganti perangkat, dan merotasi semua kredensial terkait sebagai tindakan keamanan proaktif. Namun, peran Engineer A dan rekan-rekannya yang terkait dalam tim infrastruktur wallet kami telah terekspos kepada peretas.
Sepanjang 2026, tim keamanan Binance mendeteksi dan mencegah 57 kasus ancaman siber yang diduga terkait Korea Utara. Upaya ini mencerminkan ancaman terus-menerus dari aktor yang disponsori negara dan menargetkan industri mata uang kripto. Teknik yang digunakan mencakup wawancara kerja palsu, perangkat lunak berbahaya yang disamarkan sebagai alat pengembang populer, paket perangkat lunak dan ekstensi browser yang telah disusupi, aplikasi konferensi video palsu, serta kampanye rekayasa sosial yang dirancang untuk mencuri kredensial atau memasang malware akses jarak jauh.
September — rekayasa sosial. Software Engineer B dihubungi melalui platform pencarian kerja yang sah oleh seseorang yang mengaku sebagai Direktur Proyek. Profil Software Engineer B di platform tersebut mencantumkan pengalamannya di Binance. Orang yang mengaku sebagai Direktur Proyek itu mengatur wawancara tahap pertama dengan perwakilan HR, lalu wawancara tahap kedua dengan seseorang yang mengaku sebagai CEO perusahaan fiktif.
Pada tahap pertama, perwakilan HR tersebut melakukan wawancara video langsung dengan Software Engineer B. Pewawancara membagikan akun media sosialnya kepada Software Engineer B, termasuk foto dan video pribadi yang diunggah di platform tersebut, untuk membangun kepercayaan. Pendekatan ini lebih canggih dan menipu dibandingkan metode rekayasa sosial yang pernah ditemui sebelumnya.
Wawancara kedua dilakukan melalui aplikasi obrolan sosial yang populer. Menjelang akhir wawancara, Engineer B diminta mengunduh “tugas” yang berisi repositori kode berbahaya ke komputer kerjanya. Repositori itu berisi kode berbahaya yang dijalankan selama proses penyiapan dan memulai serangkaian aktivitas tanpa izin.
Malware tersebut menggunakan teknik pengaburan dan pengelakan yang canggih, termasuk mengganti komponen alat pengembangan yang sah dengan versi berbahaya untuk menjalankan perintah dan menjalin komunikasi dengan server eksternal yang dikendalikan penyerang. Malware zero-day tersebut tidak terdeteksi oleh alat perlindungan keamanan endpoint saat itu. Penyerang juga berupaya menyembunyikan aktivitas berbahaya dan menghapus jejak kompromi, sehingga deteksi dan penyelidikan selanjutnya menjadi lebih sulit.
Skrip menjalankan langkah-langkah berikut dengan menerapkan teknik pengaburan untuk menghindari deteksi keamanan.
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← hapus pyenv yang sah
RENAME pyenv_ → pyenv (3,414 B) ← ganti dengan versi berbahaya
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (buat symlink baru) + jalankan zsh
20 Oktober — penggunaan alat AI internal sebagai batu loncatan. Penyerang memanfaatkan komputer Engineer B yang telah disusupi dan menggunakan alat AI internal untuk mengambil alih kendali atas Wallet DevOps Engineer A dan Wallet Software Engineer C lainnya. Penyerang segera mengetahui bahwa komputer Wallet DevOps Engineer A memiliki token izin untuk menerapkan kontainer.
29 Oktober — menyusup ke operasi penandatanganan wallet. Pada 29 Oktober antara pukul 17:15 dan 19:56, penyerang masuk ke komputer Software Engineer C, menggunakan kredensial yang dicuri dari Wallet DevOps Engineer A, menerapkan sebuah kontainer, dan memicu skrip berbahaya untuk melancarkan serangan.
Tindakan yang telah kami lakukan
Hingga 3 November 2026, kami telah mengambil tindakan berikut:
Membangun ulang sistem wallet yang terdampak di lingkungan baru.
Membangun ulang alat AI internal yang terdampak beserta kontrol aksesnya.
Mengganti perangkat yang terdampak.
Menonaktifkan kredensial dan token yang terkait dengan engineer yang terdampak.
Menyelesaikan pemindaian keamanan yang ditingkatkan pada semua perangkat karyawan.
Meningkatkan deteksi anomali perilaku berbasis AI.
Memperkuat kontrol risiko layanan wallet.
Bekerja sama dengan penegak hukum, firma intelijen blockchain, dan mitra industri untuk melacak serta membekukan aset yang terdampak.
Kami akan terus memperkuat langkah-langkah kami seiring berjalannya investigasi. Sejumlah langkah keamanan yang telah dan sedang kami terapkan akan tetap dirahasiakan untuk mencegah aktor jahat membahayakan keamanan kami.
Tindakan lebih lanjut
Kami segera mengambil langkah-langkah berikut.
Peninjauan keamanan siber independen
Kami melibatkan pakar keamanan siber pihak ketiga yang independen untuk melakukan peninjauan menyeluruh atas insiden ini, memvalidasi temuan kami, dan merekomendasikan langkah-langkah tambahan. Cakupan dan temuan peninjauan tersebut akan menjadi landasan bagi upaya remediasi berkelanjutan kami. Peningkatan investasi dalam keamanan dan pencegahan AI
Kami meningkatkan investasi dalam deteksi berbasis AI, perlindungan endpoint, keamanan lingkungan pengembangan, dan pemantauan anomali perilaku. Dana riset keamanan dan inisiatif industri
Kami sedang berupaya membentuk dana riset keamanan dan inisiatif terarah bersama perusahaan AI terkemuka, pelaku industri, dan firma keamanan yang berfokus pada keamanan AI di lingkungan blockchain.
Kami akan terus membagikan informasi secara proaktif begitu kami memilikinya.
Sumber: akun X resmi Binance (@binance)
#safu #BinanceIncidentReport #BinanceReopensWithdrawalsForMoreAssets