Binance Konfirmasi Peretasan, Kerugian Ditaksir Sekitar $6,3 Miliar

Binance mengonfirmasi adanya pembobolan keamanan di bursa kriptonya dan menaksir total dampaknya di kisaran $6,3 miliar — angka yang oleh pengamat on-chain disebut sebagai pencurian kripto terbesar yang pernah tercatat. Bursa mengatakan dana pengguna aman dan akan menutup seluruh kerugian dari dana cadangan SAFU serta dana perusahaan. Namun di sinilah letak teka-tekinya: Binance menegaskan tak ada kunci privat dompet yang bocor, sementara data di blockchain menunjukkan dompet itu dikuras memakai tanda tangan sahnya sendiri — dan bagaimana penyerang bisa memperoleh tanda tangan itu belum terjawab.

Menurut keterangan bursa, penyelidikan awal mengarah pada laptop seorang insinyur yang disusupi. Dari situ penyerang disebut memperoleh akses untuk mengirim perintah penarikan dana yang tidak sah. Binance menyatakan belum menemukan bukti kebocoran kunci privat dompet dan berjanji merilis laporan teknis lengkap setelah semua fakta terverifikasi.

## Bagaimana dompet bisa dikuras pakai tanda tangannya sendiri

Firma keamanan blockchain Blockaid membaca kejadian ini dari sisi data on-chain, dan uraiannya membantu memahami mekanismenya. Di Ethereum ada aturan bernama EIP-7702: sebuah "otorisasi" pada dasarnya adalah izin bertanda tangan yang membuat sebuah dompet menyerahkan kendali atas dirinya kepada sepotong kode program. Masalahnya, satu izin hanya berlaku untuk nomor transaksi berikutnya dari dompet itu. Karena dompet Binance yang jadi sasaran masih terus mengirim transaksi, nomor itu terus bergerak, sehingga pengirim tak tahu nomor mana yang akan aktif. Solusinya, mereka menjejalkan 50 izin untuk 50 nomor berurutan sekaligus dalam satu transaksi — dan satu di antaranya pas.

Izin yang pas itu menyerahkan kendali dompet kepada sebuah kontrak "penyapu" (sweeper) yang belum terverifikasi. Hanya operator tertentu yang bisa menjalankannya, dan alamat operator itu, menurut Blockaid, didanai lewat Tornado Cash — layanan pencampur yang mengaburkan jejak asal dana. Beberapa menit kemudian dompet itu terkuras: sekitar $1,6 miliar dalam USDT, 167.464 ETH, dan lebih dari 60 token lain. Yang penting dicatat, tanda tangan tadi dibuat dengan kunci milik dompet itu sendiri — sesuatu yang hanya bisa dilakukan oleh kunci tersebut atau sistem yang menyimpannya. CEO Blockaid, Ido Ben-Natan, menyebutnya tampak sebagai pembobolan pada infrastruktur penandatanganan, bukan kebocoran kunci, dan menilai polanya sangat mirip dengan peretasan Bybit pada 2025 yang menguras sekitar $1,5 miliar Ether.

Angka kerugian pun belum sepenuhnya sepadan. Binance menyebut dampak sekitar $6,3 miliar, sementara Blockaid menghitung setidaknya $5,57 miliar keluar dari dompet-dompet terkait Binance di jaringan Ethereum, Bitcoin, dan Tron. Perbedaan itu wajar pada tahap awal, ketika penelusuran masih berjalan dan sebagian aset sudah dibekukan.

Sebagai langkah darurat, Binance menghentikan sementara setoran dan penarikan selama pemeriksaan keamanan, mencabut otorisasi alamat yang terdampak, serta menggandeng penegak hukum dan mitra intelijen blockchain untuk melacak dan memulihkan dana. Bersama mitra blockchain, bursa menyebut sekitar $3 miliar aset sudah dibekukan on-chain, dan berjanji menerbitkan pembaruan Proof of Reserves setelah pemulihan rampung.

Yang belum jelas justru bagian paling menentukan. Binance belum menjelaskan bagaimana dana pengguna disebut tetap aman sepenuhnya, belum memastikan bagaimana transaksi itu bisa diotorisasi, dan belum memberi tenggat kapan setoran serta penarikan dibuka lagi atau kapan laporan teknisnya terbit. Tiga hal itulah yang layak dipantau ke depan: pembukaan kembali layanan, laporan post-mortem resmi, dan Proof of Reserves yang diperbarui. Selama ketiganya belum keluar, gambaran soal berapa dana yang benar-benar hilang versus yang bisa dibekukan atau ditutup masih bisa berubah, dan sebaiknya diikuti hanya lewat kanal resmi Binance.