Penyerang mencuri kurang lebih US$387,5 juta dari Bitget pada tanggal 24 September dengan cara memanipulasi proses penarikan internal exchange tersebut. Menurut Chainalysis, serangan itu dilakukan oleh hacker asal Korea Utara.
Jadi, apakah sekarang Bitget sudah aman digunakan? Bagaimana jika nanti terjadi peretasan yang lebih besar? Dan langkah keamanan apa saja yang sedang diambil oleh exchange ini? BeInCrypto berbincang langsung dengan CEO Bitget, Gracy Chen, untuk membahas berbagai pertanyaan ini.
Update Terbaru Mengenai Peretasan Bitget
Per tanggal 6 Oktober, exchange ini sudah membuka kembali layanan penarikan, sementara tim investigasi masih melacak dana yang dicuri:
- Penarikan: Bitget menyatakan proses pembukaan penarikan secara bertahap selesai pada 2 Oktober.
- Dana dibekukan: Pelacak mereka mencatat ada sekitar US$1,07 juta yang dibekukan, sekitar 0,28% dari total kerugian. Jumlah dana yang benar-benar berhasil dikembalikan masih belum diumumkan.
- Atribusi: Chainalysis kini menyatakan pencurian ini dilakukan oleh pelaku asal Korea Utara.
- Investigasi: Pihak vendor keamanan pihak ketiga yang terdampak masih belum disebutkan secara publik.
Dalam wawancara eksklusif dengan BeInCrypto yang direkam sebelum penarikan kembali dibuka penuh, CEO Gracy Chen membela posisi keuangan Bitget. Ia juga mengakui ada keterbatasan pemahaman soal serangan ini.
Jika Terjadi Lagi Peretasan dan Melebihi Dana Proteksi, Bisakah Bitget Menanggungnya?
Chen mengatakan Bitget sudah mengisi kembali dana proteksi di atas US$300 juta setelah menggunakan bitcoin dari dana tersebut untuk memenuhi permintaan penarikan. Ia menilai batas ini sudah cukup untuk saat ini, meski pencurian terakhir melebihi angka itu.
Ia juga menyebut perusahaan memiliki lebih dari US$1 miliar modal di luar dana proteksi.
“Saya tidak bisa menyebutkan jumlah pastinya, tapi yang jelas lebih dari satu miliar.”
Ketika ditanya soal kemungkinan kehilangan ratusan juta dolar lagi, ia berkata Bitget tetap mampu menanggungnya. Dalam wawancara ini tidak dijelaskan apakah seluruh modal tersebut bisa langsung dicairkan.
Berapa Besar Kerugian Bitget dari Sisi Pelanggan dan Bisnis?
Chen menggambarkan dampak pada operasional harian dan profitabilitas perusahaan sebagai hal yang terbatas.
Ada beberapa klien institusi yang menarik dana dalam jumlah besar saat penarikan Bitcoin dibuka kembali, tutur Chen, namun para pelanggan sudah mulai kembali berdagang di platform.
“Beberapa hari terakhir, mereka mulai kembali.”
Satu jam setelah penarikan Ethereum dibuka, arus masuk lebih besar daripada arus keluar, jelas Chen. Ia juga menjelaskan adanya arus masuk yang kuat saat penarikan USDT dibuka kembali.
Chen tidak menyampaikan angka pasti mengenai total deposit maupun dana yang telah kembali setelah penarikan sempat dibuka.
Bagaimana Penyerang Bisa Mengetahui Cukup Banyak tentang Bitget untuk Membangun Alat Penarikan Tersendiri?
Chen menyampaikan hasil investigasi internal awal menunjukkan tidak ada keterlibatan orang dalam. Namun, ia belum bisa menjelaskan bagaimana penyerang bisa memperoleh detail sistem Bitget secara mendalam.
“Saya sendiri tidak tahu. Saya berharap bisa bertanya langsung pada mereka dan mendapat jawaban.”
Ia menambahkan bahwa investigasi masih berlangsung dan kemungkinan memakan waktu lebih lama dibandingkan kasus Bybit karena insiden Bitget melibatkan sistem yang lebih rumit.
Jawabannya membuka pertanyaan penting: Sejauh mana akses yang dimiliki penyerang sebelum dana dicuri?
Chen mengatakan Bitget sudah melakukan investigasi internal, dan hingga saat ini tidak ditemukan bukti keterlibatan orang dalam.
“Hasil investigasi awal sejauh ini menunjukkan tidak ada indikasi keterlibatan internal.”
Apa Saja yang Sebenarnya Sudah Berubah untuk Mencegah Serangan Terulang?
Chen menjelaskan pihaknya melakukan isolasi pada sistem yang terdampak dan mereset seluruh kredensial internal. Ia juga menyampaikan Bitget kini memperketat akses sistem yang sensitif dan menambah proses persetujuan ekstra untuk penarikan dana.
Exchange ini juga memperkuat pemeriksaan terhadap produk keamanan pihak ketiga. Chen menggambarkan titik masuk serangan berasal dari celah pada produk pihak ketiga yang sebelumnya tidak diketahui, dan fitur yang terdampak kini telah dinonaktifkan.
Ia mengakui bahwa notifikasi harus ditindaklanjuti dengan benar dan tim monitoring harus bisa bertindak lebih cepat.
“Tidak ada sistem atau infrastruktur keamanan yang sempurna atau tidak bisa ditembus.”
Haruskah Layanan Seperti THORChain Lebih Aktif Menghambat Pergerakan Dana Curian?
Chen tidak setuju dengan anggapan bahwa THORChain menjadi pihak utama yang harus bertanggung jawab atas peretasan exchange. Ia menyampaikan tiap protokol punya kemampuan teknis yang berbeda dan menghormati desain permissionless mereka.
Namun, ia berharap para operator dapat menjelaskan opsi intervensi yang mungkin diambil. Ia mencontohkan NEAR Intents sebagai aksi nyata jika infrastrukturnya memungkinkan.
“Saya tidak menyalahkan THORChain, tentu saja.”
Pendirian Chen adalah exchange harus bekerja sama dengan protokol agar upaya pencucian dana jadi lebih sulit, sambil tetap bertanggung jawab penuh atas keamanan masing-masing.
Bisakah Exchange Membentuk Aliansi Melawan Serangan Ini?
Chen mengungkapkan Bitget telah berdiskusi mengenai aliansi yang melibatkan exchange dan protokol besar lainnya. Pembicaraan tersebut masih dalam tahap awal.
Ia menyadari sulitnya menyatukan kepentingan para peserta. Berbagi informasi intelijen yang berguna juga akan mengharuskan perusahaan untuk mengungkap lebih banyak tentang keamanan internal mereka.
“Anda perlu membagikan informasi yang cukup, namun jangan sampai terlalu banyak informasi.”
Wawancara ini memperlihatkan betapa besarnya respons yang bergantung pada kemampuan exchange untuk menutup kerugian sambil tim investigasi mengejar dana tersebut. Masih ada pula pertanyaan tentang upaya pencegahan.
Berdasarkan analisis yang diterbitkan setelah wawancara, Certora memperkirakan sekitar US$238 juta keluar setelah pemblokiran penarikan pertama oleh Bitget. Temuan ini menyoroti ujian berikutnya dari jaminan yang disampaikan Chen: apakah kontrol baru dapat benar-benar menghentikan transfer internal palsu ketika alarm sudah berbunyi.
