MEXC Ganti Rugi $340.000: Kunci API Peretas Selamat dari Pembekuan Akun

Bursa kripto MEXC mengganti kerugian sekitar $340.000 setelah dana seorang pengguna ditarik keluar oleh peretas — bukan lewat kata sandi yang bobol lagi, melainkan lewat satu "kunci" yang tertinggal dan tidak pernah dicabut. Dua puluh tujuh menit setelah masa pembekuan penarikan berakhir, uang itu lenyap.

Inti kasusnya sederhana tapi mudah terlewat: memulihkan akun yang diretas belum tentu menutup semua pintu. Saat akun pengguna diambil alih, peretas membuat sebuah *API key* — semacam kunci cadangan yang biasanya dipakai untuk menghubungkan akun ke aplikasi atau bot, dan bekerja terpisah dari kata sandi. Kunci yang dibuat peretas ini diberi izin untuk menarik dana. Ketika bursa memulihkan akun ke tangan pemiliknya, kunci cadangan itu tidak ikut dihapus. Jadi meskipun pemilik sudah "mengambil kembali" akunnya, ada satu akses lain yang masih hidup di belakang layar.

Di sinilah pembekuan penarikan berperan — dan menunjukkan batasnya. Pembekuan hanya menahan waktu: selama berlaku, tidak ada dana yang bisa keluar. Tapi pembekuan tidak menutup lubangnya. Begitu jangka waktunya habis, kunci milik peretas yang masih aktif langsung bisa dipakai, dan itulah yang terjadi 27 menit kemudian.

Pelajaran yang bisa dibawa pulang siapa pun yang menyimpan aset di bursa: mengganti kata sandi setelah akun bermasalah itu perlu, tapi belum tentu cukup. Selama masih ada API key atau aplikasi pihak ketiga yang terhubung dan punya izin menarik dana, pintu itu tetap terbuka sampai kunci tersebut benar-benar dicabut satu per satu. Memeriksa daftar kunci dan aplikasi yang terhubung — lalu mencabut yang tidak dikenali — sama pentingnya dengan mengganti sandi.

MEXC pada akhirnya menanggung kerugian pengguna dengan mengganti sekitar $340.000 tersebut. Bagi pengguna, kabar itu melegakan; bagi cara kita menjaga akun, kejadiannya jadi pengingat bahwa keamanan tidak berhenti di kata sandi.