Peretas Binance Pecah 18.270 Bitcoin Senilai Rp22 Triliun ke 19 Dompet, Tak Ada yang Bisa Membekukan

Sebanyak 18.270 bitcoin yang dikuras dari dompet panas (hot wallet) Binance pada Kamis malam langsung dipecah menjadi 19 kantong terpisah dalam waktu kurang dari setengah jam. Hingga Jumat pagi waktu UTC, tidak satu pun koin dari dompet-dompet tersebut digerakkan—sebuah pola yang menunjukkan perencanaan cermat untuk menyulitkan pelacakan dan penyitaan.

Transaksi pengurasan terjadi pada pukul 20.20 UTC dan tercatat dalam blok 973.732. Binance mengirim lebih dari 18.270 BTC ke satu alamat melalui 11 transaksi yang seluruhnya tervalidasi. Dengan harga bitcoin di awal pekan lalu, nilai rampasan itu mencapai sekitar US$1,4 miliar—lebih dari dua setengah kali lipat kerugian Binance pada peretasan 2019 yang hanya 7.000 BTC, kendati harga bitcoin saat itu masih di bawah US$5.000.

Yang menarik, pemecahan koin dilakukan tak lama setelah deposit masuk. Data mempool.space yang dilacak CoinDesk memperlihatkan pola peel chain: setiap transaksi memotong 1.000 BTC ke alamat baru dan meneruskan sisanya ke lompatan berikutnya. Beberapa sisa transaksi digabung kembali lalu dipecah lagi. Pada akhirnya, 17 dompet masing-masing berisi tepat 1.000 BTC, satu dompet menampung 832,5 BTC, dan dompet terakhir menerima 437,7 BTC pada blok 973.738—28 menit setelah transaksi pertama.

Hingga pukul 04.23 UTC Jumat, ke-19 dompet tersebut belum mengirim satu koin pun. Satu-satunya aktivitas yang terdeteksi adalah spam—kiriman receh senilai satu hingga dua dolar dari pihak tak dikenal yang mencoba menandai atau mengacaukan pelacakan. Pola ini mengingatkan pada taktik pencuci uang yang kerap digunakan kelompok peretas negara.

Perbedaan mendasar antara bitcoin dan stablecoin menjadi sorotan. Tether, Circle, Ripple, dan penerbit stablecoin lain memiliki kendali atas kontrak token mereka sehingga dapat memasukkan alamat peretas ke daftar hitam dalam hitungan jam. Bitcoin tidak memiliki penerbit yang bisa melakukan itu. Koin hanya bisa dihentikan ketika menyentuh bursa, meja perdagangan over-the-counter, atau layanan tukar—titik-titik yang menjadi celah bagi penegak hukum untuk menyita aset.

“Setiap transfer membawa tanda tangan valid dari alamat bitcoin yang dikendalikan Binance,” demikian temuan forensik yang dikutip CoinDesk, menegaskan bahwa transaksi dirancang menyerupai penarikan normal pengguna.

Dalam pernyataan di X pada Senin, Binance mengungkapkan investigasi awal menunjukkan laptop seorang insinyur DevOps yang diretas memberi penyerang akses ke kontainer layanan, yang kemudian dipakai untuk mengajukan penarikan tidak sah. Bursa menegaskan tidak ada bukti kebocoran kunci pribadi dompet mana pun. Meski demikian, Binance mencatat kerugian total US$6,3 miliar dan berjanji menanggung seluruh kerugian nasabah. Layanan deposit dan penarikan masih dihentikan hingga waktu yang belum ditentukan.

TRM Labs mengaitkan pencurian ini dengan TraderTraitor, unit peretasan elit Korea Utara, dengan “keyakinan tinggi.” Setelah pencurian US$1,5 miliar dari Bybit pada Februari 2025, unit yang sama menghabiskan sekitar 10 hari mengubah ether curian menjadi bitcoin—pola yang kemungkinan kembali diulang dalam kasus ini.

Bagi Indonesia, insiden ini mempertegas risiko yang dihadapi investor kripto domestik. Meski Binance bukan bursa berizin di Indonesia, banyak trader Tanah Air mengakses platform global melalui VPN atau entitas afiliasi. Regulator dalam negeri, Bappebti, telah mewajibkan bursa kripto lokal menerapkan prosedur know-your-transaction dan pelaporan transaksi mencurigakan. Namun, ketika aset curian mengalir ke dompet pribadi tanpa otoritas pusat, pengawasan lintas yurisdiksi menjadi satu-satunya benteng—dan itu pun bergantung pada kerja sama bursa global serta kecepatan pelacakan rantai blok.

Ke depan, pertanyaan besarnya bukan sekadar apakah peretas akan segera mencairkan koin-koin tersebut, melainkan seberapa cepat industri kripto membangun mekanisme pembekuan yang tidak bergantung pada penerbit token. Selama bitcoin tetap tanpa otoritas pusat, dompet-dompet itu bisa tetap diam berbulan-bulan—atau justru bergerak dalam hitungan detik melalui layanan pencampur yang makin canggih. Pengawasan publik dan tekanan pada bursa untuk memperketat verifikasi akan menjadi ujian berikutnya.