Bagaimana Peretasan Binance Terjadi? Investigasi Lengkap atas Perampokan US$6 Miliar

Pada 29 Oktober 2026, seorang penyerang menguras sekitar US$6,15 miliar dari Binance hanya dalam 31 menit. Ini menjadi salah satu pencurian terbesar dalam sejarah aset kripto, bahkan sejarah internet.

Pada awalnya, Binance menyatakan kerugian sebesar US$6,3 miliar; tetapi analisis pelacakan transaksi demi transaksi dari perusahaan blockchain analytics BitOK menyatakan totalnya mencapai US$6,15 miliar di sembilan blockchain.

Penyerang ini tidak pernah mencuri private key milik Binance. Sebaliknya, mereka membuat sistem Binance sendiri menyetujui pencurian itu. Panduan ini akan menjelaskan kronologi perampokan secara berurutan dan menjelaskan setiap istilah teknis di sepanjang jalan. Semua waktu dalam UTC.

Dasar-dasar: Bagaimana Exchange Memindahkan Uang

Hot wallet adalah wallet online milik exchange yang selalu terhubung agar proses penarikan berjalan cepat.

Penandatanganan. Setiap transfer harus disetujui dengan private key wallet, yaitu angka rahasia. Exchange memakai sistem otomatis untuk menandatangani ribuan penarikan tiap harinya.

Nonce adalah penghitung transaksi dalam wallet Ethereum. Semakin aktif sebuah wallet, maka noncenya akan terus bertambah.

Koin yang bisa dibekukan. Penerbit stablecoin seperti Tether (USDT) dan Circle (USDC) bisa membekukan alamat wallet tertentu. Namun, tidak ada yang bisa membekukan native coin seperti BTC, ETH, atau TRX.

28 Oktober: Persiapan Sebelum Peretasan

Setiap transaksi di blockchain membutuhkan biaya kecil. Untuk mendanai wallet mereka tanpa jejak, penyerang menggunakan Tornado Cash, sebuah “mixer” yang menggabungkan aset kripto dari banyak pengguna sehingga penarikan tidak dapat dilacak ke deposit asalnya.

Enam kali penarikan Tornado Cash digunakan untuk membiayai wallet operator dan dua orang pembantunya.

29 Oktober, 02:28–16:47 UTC: Dua Kali Latihan

Sebelum menyasar Binance, sang penyerang berlatih di wallet mereka sendiri, seperti pencuri yang menguji kunci di pintu rumahnya terlebih dahulu.

Alat yang digunakan berupa smart contract: program yang berjalan di Ethereum dan melakukan persis seperti yang tertera pada kodenya. Smart contract ini dirancang untuk menguras aset dari wallet mana pun yang memberinya izin bertindak atas nama wallet itu. (Fitur EIP-7702 dari Ethereum memungkinkan jenis izin seperti ini; pembahasan lebih lanjut tentang fitur ini ada di bawah.)

• 02:28 — penyerang mempublikasikan versi percobaan dari program penguras.
• 13:51–14:24 — latihan pertama. Mereka mengirim sejumlah kecil USDT dan USDC ke dua wallet milik sendiri, memberikan izin pada program percobaan, lalu menjalankannya. Kedua wallet itu langsung kosong. Berarti alatnya berhasil berfungsi.
• 15:59 — mereka merilis versi final, yang nantinya digunakan untuk menguras Binance.
• 16:20–16:47 — latihan kedua, mengulang tes dengan versi final.

Versi finalnya mendapatkan satu kemampuan tambahan: dapat membuat wallet melakukan apa saja, tidak hanya mengirim token. Malam itu, alat ini membuat wallet Binance melepaskan USDC sebesar 823 juta. Karena alatnya sangat spesifik, ini menunjukkan bahwa penyerang telah mengetahui tata letak wallet Binance.

“Perbedaan antara dua versi tadi sangat krusial. Main contract menyertakan fungsi yang dapat menjalankan perintah apa pun atas nama wallet yang sudah mendelegasikan kontrol padanya. Penyerang kemudian memakai fungsi ini untuk menguras USDC sebanyak 823 juta dari smart wallet Binance,” papar BitOK.

29 Oktober, 20:04 UTC: Pengurasan 31 Menit

Dari jam 20:04:52 sampai 20:35:53, penyerang menguras hot wallet Binance di XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum, dan Avalanche. Hasil curiannya meliputi:

• 18.270,2 BTC,
• 197.540 ETH,
• 2,49 miliar USDT,
• 823 juta USDC,
• 233,46 juta XRP,
• 970.522 SOL serta puluhan token lainnya.

Semua transfer itu ditandatangani oleh wallet milik Binance sendiri. BitOK mengenalinya dari kebiasaan: biaya yang 2 hingga 2,7 kali lebih besar dari biasanya, format transaksi yang tidak biasa digunakan software pembayaran Binance, serta – khusus di Ethereum – transfer palsu yang disisipkan di antara penarikan pelanggan asli.

Penyerang menembus laptop milik engineer DevOps, lalu menggunakan service container (program dalam kemasan yang berjalan di dalam sistem Binance) untuk memproses order penarikan palsu.

20:20 UTC: Trik 50 Kunci

Inilah langkah paling cerdik malam itu. Targetnya adalah hot wallet Ethereum yang sangat aktif bernama Binance 14.

Rencana. Dengan fitur EIP-7702, sebuah wallet dapat menandatangani “surat izin”, yaitu otorisasi yang memberi smart contract hak kendali atas wallet tersebut. Bila Binance 14 menandatangani surat izin yang menunjuk kontrak milik penyerang, maka wallet itu sepenuhnya di bawah kendali penyerang.

Masalah. Surat izin ini hanya berlaku jika nomor transaksi wallet (nonce) benar-benar sesuai dengan keadaan terkini. Karena Binance 14 terus-menerus melayani penarikan pelanggan, angka nonce itu selalu berubah. Surat izin dengan nomor yang salah otomatis diabaikan.

Triknya. Pada pukul 20:20:59, pelaku membuat sistem penandatangan Binance menandatangani 50 slip sekaligus, masing-masing dengan nomor berbeda. Bayangkan seperti mencoba 50 kunci pada satu gembok di waktu yang sama: hanya satu yang perlu cocok. Dan memang satu cocok. Kini Binance 14 mengikuti perintah dari kontrak pelaku, walau tetap bekerja seperti biasa, sehingga dana terus mengalir masuk.

Hasilnya. Beberapa menit kemudian, satu transaksi menguras 65 token berbeda senilai lebih dari US$2,2 miliar, termasuk 1,615 miliar USDT dan 167.464 ETH. Pada pukul 20:41 dan 20:59, kontrak tersebut juga menginstruksikan wallet Binance lain mengirim 823 juta USDC.

Binance 16. Satu hot wallet lain dirampok dengan cara lebih sederhana. Sistem Binance menerima sembilan transfer palsu, yang lalu ditandatangani dan dikirim bersamaan dengan penarikan pelanggan asli. Dana yang terbawa adalah 28.005,6 ETH dan 55,7 juta USDT.

20:30–21:14 UTC: Perlombaan Menuju Koin yang Tidak Bisa Dibekukan

Di Ethereum, 500 juta USDT keluar dari alamat penerima utama hanya dalam waktu enam menit. Di antara pukul 20:34 dan 21:09, pelaku menukar 435 juta USDT ke ETH melalui Uniswap, sebuah decentralized exchange yang berjalan otomatis lewat kode. Mereka juga menyetor 60 juta USDT ke Aave, sebuah protokol pinjaman, dan meminjam 19.762 ETH sebagai imbalannya, sehingga meninggalkan jaminan yang bisa dibekukan.

Di Tron, 612,7 juta USDT keluar dari wallet Binance-Hot 7. Pada 16 kali penukaran di SunSwap, decentralized exchange utama Tron, pelaku mengubah 234 juta USDT menjadi 638,2 juta TRX.

Perlombaan Pembekuan

Untuk membekukan USDT, Tether membutuhkan tiga persetujuan dari wallet multisig mereka, sebuah sistem yang mengharuskan banyak otorisasi. Setiap proses pembekuan memerlukan waktu hingga 2 menit 36 detik, dan permintaan pembekuan yang masih menunggu bisa dilihat di on-chain. Pelaku dapat melihat pembekuan akan datang dan langsung bergerak: satu wallet memindahkan 130 juta USDT hanya 48 detik sebelum dibekukan. tapi di satu alamat, pelaku ragu dan kehilangan hampir 175 juta USDT.

Seluruh 823 juta USDC tetap berada di satu alamat dan berhasil dibekukan dalam satu transaksi.

Penerbit token lain juga membekukan USD1, XAUt, PAXG, wBETH, dan FDUSD, dan penerbit BEAM membakar 984 juta token curian. Security Council Arbitrum, tim darurat beranggotakan 12 orang, menyita 8.426 ETH dan 74,56 juta ARB.

Total, sekitar US$2,79 miliar berhasil dibekukan, dibakar, atau disita. tetap saja, sebanyak 669 juta USDT sudah lebih dulu berubah menjadi ETH dan TRX.

21:43–00:10 UTC: Wallet yang Terus-Menerus Dirampok

Binance 14 masih berada di bawah kendali pelaku.

• 21:43:59 — top up rutin Binance mengirim 200 juta USDT ke Binance 14. Dua belas detik kemudian, kontrak langsung menyapunya. USDT tersebut masuk ke alamat yang sudah dibekukan, tapi hampir 370 ETH berhasil lolos.
• 22:39 — penyapuan lain mengambil 128,49 ETH.
• 23:56 — sebanyak 2.961,91 ETH disapu satu menit setelah diterima.
• 00:10:35, 30 Oktober — Binance akhirnya membatalkan serah terima.

Pelaku menguasai wallet tersebut hampir empat jam.

Ke Mana Larinya 18.270 BTC

Pada pukul 20:20:06, sebanyak 11 transaksi memindahkan 18.270,2 BTC dari hot wallet Binance, dengan membayar biaya transaksi dua kali lipat dari biasanya. Koin-koin itu dibagi ke 19 alamat, 17 di antaranya masing-masing menerima 1.000 BTC. per 30 Oktober, tidak ada BTC yang berpindah dari alamat itu. Bitcoin berada di public ledger sehingga masih bisa dilacak, tapi tak ada yang bisa membekukannya.

30 Oktober, 04:02: Koneksi Bitget

Penemuan terbesar BitOK: dana yang dicuri dari Binance mengalir ke alamat Ethereum yang sama yang sebelumnya sudah menerima hasil dari peretasan Bitget pada September 2026.

Pelaku memindahkan TRX dan USDT melalui THORChain, sebuah protokol yang menukar aset lintas blockchain, lalu menerima ETH di alamat 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.

Alamat tersebut sudah pernah menerima ETH yang berhasil ditelusuri berasal dari peretasan Bitget. Dana tersebut dikirim dari alamat Bitcoin dalam daftar wallet pelaku yang dirilis Bitget, aktif sejak 23 Oktober, dan awalnya berupa ZEC, koin yang tidak pernah dicuri dari Binance.

Pada pukul 06:20, alamat itu sudah menerima delapan kali dana dari Bitget (349,46 ETH) dan lima kali dana dari Binance (13,63 ETH), lalu mengirim dana yang sudah tercampur ke wallet baru. Satu alamat yang digunakan bersama belum cukup untuk mengidentifikasi siapa dalang di balik kedua peretasan ini.

Apakah Ini Ulah Korea Utara?

Kedua serangan ini melibatkan pembobolan ke sistem internal tanpa mencuri private key, dan Bitget menuduh Korea Utara sebagai pelaku peretasan mereka. BitOK juga menyoroti sejumlah ciri yang mereka kaitkan dengan kelompok Korea Utara: latihan terlebih dahulu, pendanaan via Tornado Cash, konversi instan dari token yang bisa dibekukan serta persiapan selama jam kerja zona waktu UTC+9.

“Alamat pencucian dana bersama yang baru diidentifikasi ini merupakan bukti tumpang tindih operasional yang lebih kuat dibandingkan sekadar kemiripan taktik. BitOK menilai, kedua pencurian tersebut mungkin saling berkaitan dan dilakukan oleh satu kelompok Korea Utara serta terdapat satu operator yang mengendalikan aliran pencucian dana. Meski begitu, penilaian ini masih berupa atribusi analitik, bukan bukti identitas setiap pelaku di dunia nyata,” ujar BitOK.

Respons Binance

Binance menghentikan sementara penarikan dari hot wallet Bitcoin dan Tron mereka sekitar pukul 20:36, sedangkan deposit masih berjalan. Mereka juga berjanji menanggung semua kerugian nasabah menggunakan dana darurat SAFU beserta sumber dana internal mereka sendiri.

Di seluruh pasar, likuidasi posisi leverage mencapai US$1,58 miliar dalam 24 jam terakhir berdasarkan data Coinglass.

Berapa Banyak Aset di Tangan Pelaku Saat Ini?

Pada pukul 06:20 tanggal 30 Oktober, BitOK menghubungkan pelaku peretasan dengan:

• 197.460 ETH,
• 18.270,2 BTC,
• 233,46 juta XRP,
• sekitar 970.500 SOL,
• 675,9 juta TRX,
• dan 1,61 juta AVAX.

ETH, BTC, XRP, dan SOL saja nilainya diperkirakan sekitar US$2,95 miliar.

Para pelaku mengambil alih sistem yang menandatangani instruksi penarikan di Binance. BitOK ikut membagikan pelajaran penting dari kasus peretasan Binance ini bagi industri aset kripto.

“Insiden di Binance menunjukkan kenapa keamanan private key saja belum cukup. Exchange juga harus punya kontrol atas otoritas penandatanganan, pengamanan terhadap instruksi penarikan yang mencurigakan, pencabutan izin akses yang sudah dikompromikan secara cepat, serta pemantauan pergerakan aset di lintas jaringan secara terus-menerus,” terang BitOK.