Jakarta | Binance mengungkap bahwa akses tidak sah yang berujung pada penarikan ilegal berawal dari laptop milik seorang insinyur di tim DevOps perusahaan. Perangkat tersebut dilaporkan telah diretas, sehingga menjadi titik awal rangkaian kejadian yang kemudian memungkinkan pihak luar mengakses lingkungan layanan Binance. Informasi ini memberikan gambaran awal mengenai jalur masuk yang disebut perusahaan, tetapi belum menjelaskan secara lengkap bagaimana laptop itu dikompromikan ataupun siapa yang berada di balik serangan tersebut.
Menurut uraian Binance, setelah memperoleh akses melalui perangkat insinyur, pelaku dapat masuk ke kontainer layanan. Kontainer merupakan lingkungan terisolasi yang digunakan untuk menjalankan aplikasi atau komponen tertentu. Akses ke lingkungan tersebut kemudian dimanfaatkan untuk melakukan transaksi penarikan tanpa izin. Dengan demikian, perusahaan mengaitkan insiden ini dengan rangkaian akses yang bergerak dari laptop yang diretas menuju kontainer, sebelum akhirnya digunakan untuk memproses penarikan ilegal. Uraian itu menjelaskan hubungan antartahap secara umum, bukan seluruh detail teknisnya.
Binance belum menyampaikan secara pasti metode yang digunakan untuk meretas laptop tersebut, mekanisme yang memungkinkan akses berlanjut ke kontainer, atau identitas pelaku. Karena itu, penjelasan mengenai titik awal insiden perlu dibedakan dari kesimpulan teknis yang belum dikonfirmasi. Belum tersedia dasar untuk menyatakan apakah akses diperoleh melalui perangkat lunak berbahaya, pencurian kredensial, atau cara lainnya. Perusahaan juga belum mengidentifikasi pihak yang bertanggung jawab secara terbuka. Informasi yang telah diungkap sejauh ini terbatas pada laptop insinyur DevOps yang diretas, akses ke kontainer layanan, dan penarikan yang dilakukan tanpa izin. Rincian tambahan dibutuhkan untuk memahami cakupan kompromi, urutan tindakan, serta langkah pengamanan yang diterapkan setelah kejadian. Sementara itu, alur yang disampaikan Binance menjadi kerangka awal untuk menjelaskan bagaimana akses yang bermula pada perangkat seorang insinyur dapat berujung pada penyalahgunaan layanan. Penjelasan tersebut tidak dengan sendirinya memastikan seluruh cara kerja serangan atau mengungkap identitas pelakunya.
Setelah insiden yang memicu penarikan ilegal, Binance mengambil langkah untuk membatasi risiko dan meninjau proses keamanan terkait. Co-CEO Richard Teng menyatakan bahwa serangan tersebut lebih kompleks daripada sekadar penyalahgunaan izin oleh seorang insinyur. Pernyataan ini menempatkan kejadian dalam konteks yang lebih luas: akses dari laptop insinyur memang menjadi bagian dari insiden, tetapi belum cukup untuk menjelaskan seluruh rangkaian serangan. Binance tidak menguraikan seluruh detail teknis, sehingga penyebab dan metode yang digunakan perlu dipahami berdasarkan informasi yang telah disampaikan, bukan asumsi mengenai celah tertentu.
Sebagai respons langsung, Binance menangguhkan penarikan untuk sementara. Penghentian ini dimaksudkan untuk memberi waktu bagi tim perusahaan memeriksa aktivitas, mengamankan proses, dan mengurangi peluang terjadinya transaksi tidak sah berikutnya. Bursa itu juga memperbaiki sistem keamanan penarikan, termasuk pengamanan yang berkaitan dengan otorisasi alamat tujuan. Selain itu, Binance mencabut otorisasi alamat yang terdampak. Langkah tersebut membatasi kemampuan alamat terkait untuk digunakan dalam proses penarikan yang telah disetujui sebelumnya. Penangguhan sementara dapat mengganggu akses pengguna terhadap dana mereka, tetapi menjadi langkah pengendalian risiko saat sistem sedang ditinjau dan diperkuat.
Binance membedakan dampak insiden terhadap penarikan dan deposit. Menurut sumber yang melaporkan kejadian tersebut, deposit tidak terpengaruh, sementara tindakan pengamanan yang diumumkan berfokus pada mekanisme penarikan. Perbedaan ini penting bagi pengguna karena menunjukkan bahwa gangguan yang diketahui tidak mencakup seluruh fungsi transaksi di bursa. Meski demikian, keterangan bahwa deposit tetap berjalan bukan berarti pengguna perlu mengabaikan pengumuman resmi atau prosedur keamanan akun. Selama peninjauan berlangsung, pengguna sebaiknya merujuk pada pembaruan Binance mengenai status layanan dan memastikan alamat penarikan yang tersimpan tetap benar. Rangkaian tanggapan perusahaan—penghentian sementara, pembaruan sistem, serta pencabutan otorisasi alamat terdampak—menunjukkan upaya membatasi dampak dan mencegah akses serupa digunakan kembali.
Skala insiden ini terlihat dari nilai aset klien yang terdampak, yakni sekitar US$6,3 miliar atau setara Rp114,4 triliun. Angka tersebut menggambarkan nilai dana yang masuk dalam cakupan peristiwa, bukan jumlah yang seluruhnya hilang secara permanen. Perbedaan ini penting karena sebagian aset dapat ditahan sebelum berpindah lebih jauh, sementara proses pelacakan dan pengamanan berlangsung di berbagai jaringan blockchain. Karena transaksi kripto tercatat secara terbuka, pergerakan dana dapat dianalisis, tetapi keterbukaan itu tidak otomatis membuat pemulihan menjadi cepat ataupun mudah.
Sekitar US$3 miliar, atau kurang lebih Rp54,4 triliun, berhasil dibekukan di blockchain. Pembekuan membatasi kemampuan pihak yang menguasai dana untuk memindahkan atau mencairkan aset tersebut, dan menjadi langkah penting untuk mengurangi kerugian lanjutan. Namun, jumlah yang dibekukan tidak serta-merta sama dengan dana yang telah dikembalikan kepada pemiliknya. Status setiap aset dapat berbeda, bergantung pada lokasi penyimpanan, kendali atas alamat tujuan, serta proses hukum dan teknis yang diperlukan. Oleh sebab itu, angka dampak dan angka pembekuan perlu dibaca sebagai ukuran yang berbeda.
Untuk menutup kerugian yang timbul, Binance menggunakan Secure Asset Fund for Users (SAFU), dana perlindungan pengguna yang diperkenalkan pada 2018 sebagai cadangan untuk menghadapi insiden, termasuk peretasan. Penggunaan SAFU memungkinkan perusahaan menyediakan perlindungan bagi pengguna tanpa menunggu seluruh dana yang dilacak berhasil dipulihkan. Dana ini merupakan bagian dari upaya penanganan risiko, bukan pengganti langkah investigasi atau pengamanan sistem. Perusahaan juga bekerja sama dengan penegak hukum dan perusahaan intelijen blockchain untuk menelusuri aliran aset, mengidentifikasi alamat terkait, serta mendukung proses pembekuan dan pemulihan. Kolaborasi lintas pihak tersebut penting karena pelacakan dapat melibatkan berbagai platform dan yurisdiksi. Hasilnya bergantung pada kecepatan respons, informasi yang tersedia, dan kemampuan pihak terkait untuk bertindak terhadap aset yang teridentifikasi. Dengan demikian, pemulihan mencakup perlindungan finansial bagi klien sekaligus upaya berkelanjutan untuk mengamankan dan mengembalikan dana yang masih dapat dijangkau.
FBI telah mengetahui insiden penarikan ilegal yang dikaitkan dengan akses dari laptop seorang insinyur Binance. Biro tersebut menyatakan sedang berkomunikasi dengan mitra dari sektor publik dan swasta untuk memahami cakupan aktivitas yang terjadi, mengevaluasi dampaknya, serta mengoordinasikan penyelidikan. Keterlibatan berbagai pihak dapat membantu penyidik menggabungkan informasi teknis, menelusuri pergerakan aset, dan menentukan apakah insiden itu berkaitan dengan kegiatan lain. Namun, komunikasi tersebut belum dengan sendirinya menetapkan siapa pelaku atau bagaimana seluruh rangkaian serangan berlangsung.
Sejumlah perusahaan analisis blockchain telah menyampaikan penilaian awal mengenai kemungkinan aktor di balik serangan. TRM Labs mengaitkannya dengan peretas Korea Utara, tetapi atribusi tersebut merupakan penilaian perusahaan dan belum menjadi kesimpulan resmi yang diumumkan oleh FBI atau Binance. TRM juga membandingkan insiden ini dengan peretasan Bybit dan KelpDAO pada April 2026. Perbandingan itu merujuk pada dugaan kesamaan dalam pola maupun konteks aktivitas, bukan bukti bahwa seluruh peristiwa dilakukan oleh pelaku yang sama.
Chainalysis juga menuding Korea Utara dan menyebut kelompok TraderTraitor sebagai kemungkinan pihak yang terlibat. Menurut perusahaan tersebut, kelompok itu sebelumnya menargetkan berbagai bagian ekosistem aset kripto, termasuk industri kripto secara luas, bursa, protokol keuangan terdesentralisasi (DeFi), serta investor. Chainalysis menyatakan telah mengamati aktivitas yang dikaitkan dengan kelompok tersebut sebelum peretasan Binance. Pengamatan sebelum kejadian dapat menjadi petunjuk bagi analisis, tetapi tidak serta-merta membuktikan bahwa TraderTraitor bertanggung jawab atas insiden ini.
Atribusi serangan siber umumnya memerlukan penggabungan sejumlah bukti, seperti pola transaksi, infrastruktur digital, metode akses, dan hubungan dengan kampanye sebelumnya. 18 kunjungan
