Kronologi Binance Diretas, Aset Kripto Rp114 T Diduga Dicuri

tirto.id - Platform perdagangan aset kripto Binance mengalami serangan siber pada Kamis (29/10/2026) waktu setempat yang menyebabkan aset senilai sekitar US$6,3 miliar atau setara Rp114 triliun dipindahkan tanpa izin dari sejumlah dompet perusahaan.

Menurut perusahaan investigasi blockchain TRM Labs, serangan tersebut menyasar dompet Binance di 10 jaringan blockchain. Sebagian besar perpindahan aset berlangsung dalam waktu sekitar 20 menit, menjadikannya pencurian aset kripto terbesar yang pernah tercatat berdasarkan estimasi perusahaan tersebut.

“Ini merupakan serangan yang kompleks, dan kami berupaya semaksimal mungkin dalam koordinasi dengan pihak penegak hukum untuk menanganinya. Kami masih mengumpulkan fakta-fakta yang ada dan akan segera menyampaikan informasi lebih lanjut begitu kami memperolehnya,” tulis Binance di akun X.

Binance mengonfirmasi insiden keamanan itu dan menyatakan telah bekerja sama dengan mitra industri serta aparat penegak hukum. Hingga pembaruan pada 30 Oktober 2026, sekitar US$3 miliar aset terdampak telah dibekukan.

“Arus keluar dana telah terhenti sejak kami menangguhkan layanan penarikan sebelumnya. Kami terus bekerja sama dengan berbagai mitra untuk membekukan aset-aset yang terdampak, dan sejauh ini telah berhasil membekukan aset senilai sekitar $3 miliar,” lanjut pengumuman tersebut.

Perusahaan juga berkomitmen menanggung seluruh kerugian menggunakan dana internal dan Secure Asset Fund for Users (SAFU). Sementara itu, TRM Labs mengaitkan serangan dengan TraderTraitor, kelompok peretas yang diduga berafiliasi dengan Korea Utara.

Lantas, bagaimana kronologi peretasan Binance hingga aset kripto senilai Rp114 triliun dipindahkan dalam serangan tersebut?

Awal Mula Peretasan Binance

Peristiwa ini mulai terungkap setelah sejumlah pengamat industri kripto mendeteksi perpindahan aset dalam jumlah besar dari dompet Binance. Sebelum perusahaan mengonfirmasi insiden tersebut, beberapa pengamat telah memperingatkan bahwa pihak tidak berwenang diduga berhasil mengakses sistem platform.

Berdasarkan laporan TRM Labs, persiapan serangan diperkirakan telah berlangsung setidaknya 36 jam sebelum pencurian utama terjadi. Pada 28 Oktober, pelaku melakukan sejumlah penarikan kecil melalui Tornado Cash.

Pada dini hari 29 Oktober, pelaku mulai menerapkan dan menguji kode pada dua dompet, kemudian melakukan simulasi pada dompet ketiga. Dana uji coba tersebut dialirkan kembali sebelum pelaku menjalankan serangan utama. Sekitar empat jam kemudian, kode yang telah disiapkan dipasang pada salah satu dompet panas Binance.

Dompet panas atau hot wallet merupakan dompet kripto yang terhubung dengan internet dan digunakan untuk memproses transaksi. Karena dapat diakses secara daring, dompet jenis ini menjadi salah satu bagian penting dari infrastruktur operasional bursa kripto.

Menurut penelusuran TRM Labs, perpindahan aset dalam jumlah besar dimulai sekitar pukul 20.05 UTC (Jumat [30/10/2026] pukul 03.05 WIB). Serangan pertama terdeteksi di jaringan XRP Ledger. Lima dompet Binance mengirimkan total sekitar 233,46 juta XRP ke satu alamat yang dikendalikan pelaku.

Beberapa menit berikutnya, perpindahan dana terjadi di jaringan Solana dan Optimism. Sekitar pukul 20.20 UTC, dompet panas Bitcoin Binance mengirimkan sekitar 18.270 BTC. Dana tersebut kemudian dipecah menjadi beberapa transaksi dengan nominal berbeda, termasuk transfer sebesar 1.000 BTC dan 100 BTC, untuk menyebarkan aset ke sejumlah alamat.

Dalam waktu sekitar dua menit setelahnya, dompet panas Binance di jaringan Tron mengirimkan sekitar 612,7 juta USDT dan 46,4 juta TRX. Perpindahan dana tersebut berlangsung berurutan di berbagai jaringan blockchain sehingga menunjukkan bahwa serangan tidak hanya menyasar satu jenis aset atau satu jaringan.

Salah satu bagian paling rumit dari serangan terjadi di jaringan Ethereum. Pelaku memanfaatkan fitur EIP-7702 yang diperkenalkan melalui peningkatan Pectra pada Mei 2025. Fitur ini memungkinkan sebuah dompet biasa mendelegasikan sebagian perilakunya kepada kontrak pintar melalui otorisasi yang ditandatangani.

TRM Labs menemukan bahwa pelaku telah menyiapkan 50 otorisasi bertanda tangan untuk sebuah kontrak yang digunakan mengumpulkan aset.

Salah satu otorisasi tersebut kemudian berhasil digunakan. Sekitar tiga menit 24 detik setelahnya, operator kontrak memberikan instruksi agar dompet mengirimkan seluruh saldo. Transaksi itu memindahkan sekitar 167.464 ETH dan 63 jenis token, termasuk sekitar 1,615 miliar USDT.

Perpindahan aset di jaringan Ethereum berlanjut dalam sejumlah transaksi berikutnya hingga mendekati tengah malam.

Kontrak tersebut juga digunakan untuk mengeksekusi transaksi dari Binance Smart Account (akun atau dompet berbasis kontrak pintar dalam analisis transaksi), yang memungkinkan perpindahan sekitar 823 juta USDC. Dana tersebut kemudian dibekukan oleh Circle, perusahaan penerbit USDC.

Dugaan Awal Penyebab Peretasan Menurut Binance

Penyelidikan awal Binance mengindikasikan bahwa perangkat laptop milik seorang insinyur DevOps telah disusupi sehingga memungkinkan pelaku mengakses sistem dan mengirimkan instruksi penarikan tanpa izin. Namun, penyelidikan lanjutan menemukan kemungkinan titik penyusupan lain. Binance menyatakan masih memverifikasi penyebab dan cakupan serangan tersebut.

“Kami tidak menemukan bukti adanya kebocoran kunci privat dompet,” ungkap Binance.

Sekitar pukul 00.30 GMT pada 30 Oktober 2026, Binance mengumumkan bahwa seluruh aktivitas penyetoran dan penarikan dana dihentikan sementara. Langkah tersebut dilakukan untuk memberi kesempatan kepada tim keamanan melakukan pemeriksaan, membekukan aset, serta berkoordinasi dengan aparat penegak hukum.

TRM Labs mengaitkan serangan tersebut dengan kelompok TraderTraitor yang diduga berafiliasi dengan Korea Utara. Penilaian itu didasarkan pada gabungan informasi dari aktivitas di blockchain dan intelijen di luar blockchain.

“TRM mengaitkan peretasan Binance dengan TraderTraitor, sebuah kelompok peretas yang didukung oleh negara Korea Utara, berdasarkan data intelijen yang kuat, baik di dalam maupun di luar rantai blok [on-chain dan off-chain]. Kelompok yang sama juga berada di balik peretasan Bybit senilai USD 1,5 miliar pada Februari 2025,” tulis TRM Labs di akun resmi mereka.

TraderTraitor kerap dikaitkan dengan jaringan operasi siber Korea Utara yang juga dikenal melalui nama Lazarus Group, demikian menurut The Straits Times, Jumat(30/10/2026).

Lazarus Group dikenal luas setelah dituduh terlibat dalam peretasan Sony Pictures pada 2014, yang saat itu diduga berkaitan dengan film The Interview yang menggambarkan pemimpin Korea Utara Kim Jong Un secara satiris.