Kunci Cadangan yang Terlupa: Pengguna MEXC Kehilangan $340.000 dalam 13 Menit

Seorang pengguna MEXC kehilangan dana senilai $340.000 hanya dalam waktu 13 menit, lewat sebuah API key yang dibuat peretas saat akunnya dibobol dan tak pernah dicabut sesudahnya. Akun itu sebenarnya sudah sempat diretas lalu berhasil dipulihkan kembali oleh pemiliknya — masalahnya, satu "pintu samping" yang dipasang penyerang tetap terbuka.

Inti cerita ini bukan soal jebolnya kata sandi, melainkan soal apa yang tertinggal setelah akun dianggap aman kembali. Memulihkan akun yang diretas ternyata belum tentu menutup semua akses yang sempat dibuat penyerang.

Agar mudah dipahami: API key itu ibarat kunci cadangan yang bisa dititipkan ke sebuah program supaya program itu boleh bertindak atas nama Anda secara otomatis, misalnya memindahkan dana, tanpa harus mengetik ulang kata sandi atau kode verifikasi dua langkah. Karena sifatnya memang dibuat untuk bekerja sendiri, kunci semacam ini tidak menanyakan 2FA setiap kali dipakai. Ketika peretas berhasil masuk, ia diam-diam mencetak kunci cadangan itu untuk dirinya. Pemilik akun kemudian mengganti kata sandi dan mengambil kembali kendali — tapi kunci cadangan tadi tidak ikut hangus. Ia tetap hidup, tetap sah di mata sistem, dan tetap bisa dipakai menarik dana. Itulah kenapa penarikan bisa terjadi tanpa harus menembus 2FA lagi: kuncinya memang sudah dipegang, jadi tak ada lagi yang perlu ditembus.

Pelajaran yang bisa dibawa pulang dari kejadian ini sederhana tapi mudah terlewat. Kalau sebuah akun pernah dibobol, mengganti kata sandi dan mengaktifkan 2FA saja belum tentu cukup; daftar API key atau akses pihak ketiga yang aktif juga perlu diperiksa satu per satu, dan apa pun yang tidak Anda kenali sebaiknya dicabut. Pulih dari peretasan bukan hanya soal masuk kembali ke akun, tapi juga soal memastikan tidak ada kunci lama milik penyusup yang masih menggantung di sana.