Binance kehilangan $6 miliar, tombol pembekuan menyelamatkan hampir separuhnya

Pukul 20.20.59 UTC pada 29 Oktober 2026, sebuah transaksi dengan biaya $14,46 mendarat di jaringan Ethereum. Transaksi itu tidak memindahkan uang sepeser pun. Kolom nilainya nol. Sebelumnya di hari yang sama, si penyerang sudah menggladi skemanya di dompet miliknya sendiri, dengan nominal $2 sampai $6 sekali pindah. Tiga setengah menit kemudian, 167.464 ether dan stablecoin USDT senilai $1,6 miliar keluar dari sebuah dompet panas Binance yang oleh para analis dikenal sebagai Binance 14. Pagi harinya bursa menaksir kerugian sekitar $6,3 miliar. Analis independen sejauh ini menghitung lebih kecil, antara $5,3 miliar dan $5,9 miliar. Rekor sebelumnya, pencurian dari bursa Bybit pada Februari 2025, bernilai sekitar $1,5 miliar.

Tapi besarnya angka bukan bagian yang paling aneh. Hampir separuh hasil curian, sekitar $3 miliar, dihentikan dalam hitungan jam. Bukan oleh polisi, dan bukan oleh “blockchain itu sendiri”, melainkan oleh segelintir perusahaan yang punya tombol pembekuan. Padahal mata uang kripto diciptakan justru supaya tak seorang pun memegang tombol semacam itu.

Surat kuasa seharga empat belas dolar

Bursa menyimpan uang nasabah di dua jenis dompet. Dompet dingin berada offline dan menyimpan cadangan utama. Dompet panas selalu terhubung: penarikan harian lewat sana, jadi saldo kerjanya selalu ada. Di bursa terbesar dunia, saldo itu mencapai miliaran dolar.

Kunci serangan ini adalah fitur bernama EIP-7702. Fitur ini hadir di Ethereum pada 7 Mei 2025 bersama pembaruan Pectra. Sederhananya, ini semacam surat kuasa: dompet biasa memberi wewenang kepada program luar untuk bertindak atas namanya. Fitur ini dirancang demi kenyamanan, misalnya menggabungkan beberapa aksi jadi satu klik atau membiarkan orang lain membayar biaya transaksi. Hanya dompet itu sendiri yang bisa menandatangani otorisasi semacam ini. Otorisasi tetap berlaku sampai pemiliknya mencabutnya.

Transaksi $14,46 itu persis otorisasi seperti itu. Isinya 50 otorisasi, masing-masing menyerahkan Binance 14 kepada program “penyapu” yang dipasang penyerang empat jam sebelumnya. Satu dari lima puluh itu berhasil. Bayangkan buku cek yang otorisasinya hanya berlaku untuk cek dengan satu nomor tertentu. Dompet panas menulis “cek” semacam itu tanpa henti, jadi nomor berikutnya sulit ditebak. Lima puluh tanda tangan beruntun tampak seperti cara memastikan salah satunya kena.

Program penyapu itu mengosongkan Binance 14 dalam satu operasi, hanya menyisakan 1 ether. Dalam 12 menit berikutnya, uang dari sepuluh dompet panas lain milik bursa itu di empat jaringan mengalir ke alamat yang sama. Begitulah Blockaid, perusahaan keamanan blockchain, merekonstruksi serangan tersebut.

Bagaimana penyerang mendapat tanda tangan dompet itu masih belum jelas. Menurut keterangan awal Binance, semuanya bermula dari laptop seorang insinyur DevOps yang disusupi, yaitu karyawan yang mengurus server dan peluncuran perangkat lunak. Lewat laptop itu penyusup masuk ke sebuah kontainer layanan dan mengajukan penarikan tanpa izin dari sana. Bursa menyatakan tidak menemukan bukti bahwa kunci privat dompet mana pun bocor. Kalau benar, pencurinya tak pernah perlu mencuri kunci. Ia membuat sistem bursa sendiri menandatangani otorisasi untuknya.

Tombol yang tidak dimiliki bitcoin

USDT dan USDC disebut stablecoin. Keduanya dolar digital yang diterbitkan dua perusahaan swasta, Tether dan Circle, yang masing-masing berjanji menebus tokennya dengan satu dolar. Ada satu ciri yang jarang dibahas: penerbit bisa memblokir alamat mana pun di jaringan. Dalam ketentuan USDC, Circle secara tegas menyatakan berhak memblokir transfer ke dan dari suatu alamat. Tether punya kemampuan yang sama.

Malam itu, mereka melakukannya. CEO Tether Paolo Ardoino menulis bahwa perusahaannya membekukan lebih dari 1,567 miliar USDT. CEO Circle Jeremy Allaire mengatakan lebih dari 800 juta USDC diblokir bersama aparat penegak hukum. Ripple menghentikan sekitar $200 juta stablecoin-nya, World Liberty Financial sekitar $27 juta. Bahkan Arbitrum, jaringan yang biasa disebut terdesentralisasi, membekukan 74,56 juta token ARB atas keputusan Dewan Keamanannya.

Ether dan bitcoin lain cerita. Tak ada penerbit, tak ada tombol. Firma analitik Glassnode menghitung 17.985 bitcoin di antara aset yang dicuri, sekitar $1,45 miliar. Ether dari penyapuan pertama juga tetap di tangan penyerang. Tak seorang pun di dunia bisa membalik transfer yang ditandatangani dengan kunci yang benar. Bagi pencuri, itulah keunggulan terbaik bitcoin. Bagaimana penyerang menjangkau dompet bitcoin terpisah milik bursa, Binance belum mengungkapkannya. Teori kontainer layanan, di mana sistem itu sendiri yang menandatangani penarikan, bisa menjelaskannya.

Penyelamat yang punya hak veto

Sebenarnya ini absurd. Pencurian terbesar dalam sejarah kripto nyaris separuhnya dihentikan oleh alat yang seharusnya tidak dimiliki kripto “sejati”. Bitcoin berperilaku persis seperti yang dimaksudkan penciptanya: transfer yang sudah ditandatangani bersifat final. Dolar digital berperilaku seperti bank.

Tombol yang merampas satu setengah miliar dolar dari pencuri itu bekerja terhadap siapa saja. Yang menekannya sebuah perusahaan, bukan pengadilan. Prosesnya hitungan menit. Pemegang USDT tidak memiliki satu dolar di rekening, melainkan janji Tether untuk menebus token itu, dan janji itu datang dengan catatan kaki. Banyak orang akan menganggap kesepakatan ini wajar: bank pun memblokir transfer yang mencurigakan. Hanya saja stablecoin lebih mirip rekening bank daripada uang tunai di saku, dan malam itu memperlihatkan bedanya lebih jelas daripada kuliah mana pun.

Apa artinya bagi nasabah Binance

Menurut bursa itu sendiri, Binance punya lebih dari 335 juta pengguna terdaftar. Pada malam peretasan, bursa menghentikan setoran dan penarikan, dan hingga pagi 30 Oktober belum menyebut kapan akan dibuka lagi. Salah satu pendiri Binance, Yi He, berjanji bursa “akan menutup semua kerugian peretasan” dari dana asuransi SAFU dan uangnya sendiri. Pendiri Changpeng Zhao mengikuti pencurian itu nyaris sebagai penonton. “Ini memang tampak seperti peretasan terhadap Binance,” tulisnya di X, sambil mencatat dalam unggahan yang sama bahwa ia tidak lagi mengelola bursa tetapi berharap dana pengguna tertutup sepenuhnya.

Sejak Februari 2026, dana SAFU disimpan dalam bitcoin, sebanyak 15.000 BTC. Dengan harga 30 Oktober, nilainya sekitar $1,2 miliar. Jika taksiran bursa benar, bagian kerugian yang tak terbekukan, sekitar $3,3 miliar, hampir tiga kali lipat lebih besar. Jadi sebagian besar lubangnya harus ditambal dengan uang bursa sendiri. Dana itu sendiri, omong-omong, menyimpan bitcoin lebih sedikit daripada yang dibawa penyerang.

Pasar bereaksi seketika, meski laporan laba lemah perusahaan teknologi juga menekan. Bitcoin turun di bawah $77.000, terendah dalam enam pekan. BNB, token milik bursa itu, kehilangan lebih dari 8% dalam sehari.

Siapa pelakunya belum diketahui. Pemburu jejak blockchain ZachXBT dan perusahaan Blockaid menyebut Korea Utara sebagai tersangka utama, tetapi belum ada pihak yang secara resmi mengaitkan serangan ini. FBI memang mengaitkan pencurian Bybit dengan Korea Utara. Menurut Blockaid, penyerang mendanai operasi awalnya lewat Tornado Cash, mixer yang mengaburkan jejak transfer. Binance berjanji merilis analisis teknis pasca-kejadian yang rinci setelah fakta diverifikasi.

Bertahun-tahun komunitas kripto berdebat apakah uang butuh tombol berhenti. Dalam satu malam, satu tombol menyelamatkan sekitar $3 miliar. Perdebatannya kemungkinan bergeser sekarang: siapa yang memutuskan, dan dengan aturan apa, kapan tombol itu ditekan?